Cookie、Session、Token、csrf跨域请求伪造

Http协议是无状态的协议，客户端发起http请求，与服务器建立http连接，服务器响应，http连接断开，客户端再起发起请求，与服务器建立新的http连接。服务器无法在连接上跟踪会话。

Cookie

cookie作用流程

1. 用户输入用户信息，点击登录，浏览器发出登录http请求
2. 服务器校验用户身份后，响应http请求，在response中添加头部
   Set-Cookie: key=value[;expires=<time>][;path=<path>][;domain=<domain>][;<secure>]
3. 浏览器保存response中Set-Cookie的内容到文本文件
4. 当用户访问该网站其他接口时，浏览器会将之前保存的cookie写到请求中并发出该请求
5. 服务器解析cookie，得到用户身份、客户端状态，可以在response中添加头部Set-Cookie修改状态，给予用户响应。

客户端的状态信息存储在客户端，服务器没有存储消耗。
浏览器对cookie的大小和数量进行了限制，无法用cookie存储大量数据。单个cookie的大小限制为4k，一般浏览器限制数量为20。
cookie具有不可跨域名性，访问google.com只会用来自google.com的cookie，访问baidu.com只会用来自baidu.com的cookie，这是通过浏览器来保证的。
使用cookie不安全，容易遭到csrf（跨域请求伪造）攻击。

CSRF跨域请求伪造