Session与Cookie，两者的区别

电商人学python

已于 2024-04-07 12:12:41 修改

阅读量817

点赞数 16

分类专栏：网络协议爬虫&API测试文章标签： web http

于 2024-04-07 11:13:22 首次发布

本文链接：https://blog.csdn.net/qq_52758588/article/details/137455027

版权

爬虫&API测试同时被 2 个专栏收录

5 篇文章 0 订阅

订阅专栏

网络协议

3 篇文章 0 订阅

订阅专栏

了解Session与Cookie的基本概念对于Web开发及测试人员来说至关重要，Session和Cookie是两种常用的Web应用程序用于跟踪用户状态的技术，以下是它们的概念及主要区别：

Session

Session是服务器端的一种机制，用于在一次完整的会话期间保持特定用户的状态信息，工作流程如下：

1、创建

用户首次访问服务器并进行身份验证（如登录）后，服务器会为该用户创建一个唯一的会话ID（Session ID），同时关联相应的用户数据（如用户名、权限等）。

2、标识

为了在后续请求中识别出该用户，服务器会将Session ID发送给客户端，常见的做法是将其存储在名为Set-Cookie的HTTP响应头中，浏览器收到后会将其作为Cookie保存在本地。

3、维持会话

当用户再次发起请求时，浏览器会自动将包含Session ID的Cookie随请求一起发送到服务器。服务器通过解析请求中的Cookie，获取Session ID，然后在服务器内存中查找与该ID关联的会话数据，从而识别出用户及其状态。

4、管理

服务器负责管理Session的声明周期，包括创建、更新、销毁等操作。Session的生存周期通常由服务器配置决定，可以设置为固定时间后自动失效，或者再用户长时间无操作后清楚。当用户主动退出或关闭浏览器时，Session可能被终止。

Session的特点

服务器端存储：Session数据保存在服务器端，安全性相对较高，不易被客户篡改或窃取。

数据类型灵活：服务器端可以存储任何数据类型，且存储容量仅受限于服务器资源。

生命周期可控：服务器可以根据需要设定Session的有效期，并在会话结束后主动清理相关数据。

依赖Cookie：虽然Session本身存储在服务器，但其识别用户的机制通常依赖于客户端的Cookie。如果用户禁用了Cookie，服务器可能需要采用URL重写、隐藏表单字段或使用其他客户端存储机制来维持会话。

Cookie是一种由服务器发送到客户端的小型文本文件，客户端（通常是浏览器）将这些文件保存在本地。每当客户端发起HTTP请求的时候，浏览器会自动附带上与该域相关的所有Cookie信息。Cookie的工作原理如下：

1、设置

服务器通过在HTTP响应头中添加Set-Cookie字段，向客户端发送Cookie。Cookie包含名称（Name）、值（Value）、过期时间（Expires/Max-Age）、路径（Path）、域（Domain）等属性。

2、存储

浏览器接收到Set-Cookie响应后，按照指定的属性保存Cookie。每个域名下可以保存多个Cookie，形成Cookie jar（Cookie容器）。

3、发送

用户再次访问同一域名下的页面时，浏览器会坚持已存储的Cookie，并将符合请求路径和域匹配规则的Cookie添加到HTTP请求头的Cookie字段中，发送给服务器。

4、读取和使用

服务器接收到请求后，解析请求头中的Cookie字段，获取对应的Cookie值，据此识别用户状态或个性化处理请求。

客户端存储：Cookie数据直接保存在用户的浏览器端，易于被用户查看、修改，尽管现代浏览器对敏感Cookie提供了保护措施，也可能受到跨站脚本攻击(XSS)的威胁。

数据类型限制：Cookie值本质上是字符串，若要存储复杂数据结果，需将其序列化（如JSON格式化）。

存储大小限制：单个Cookie大小通常不超过4KB，且浏览器对同一域名可存储的总Cookie数量和总大小有所限制（各浏览器有所不同）。

生命周期可配置：Cookie可以设置为会话级，浏览器关闭时自动删除，或持久化--设置过期时间。持久化Cookie在过期前将持续存在于用户设备上。

独立于服务器状态：Cookie的管理完全由客户端完成，服务器仅负责设置和读取Cookie。即使服务器重启或更换设备，只要Cookie有效期内且未被手动清除，客户端仍能维持状态。

Session与Cookie的区别

	Session	Cookie
存储位置	服务器端	客户端(浏览器)
数据安全性	由于数据保存在服务器，相对安全，不易被客户端直接访问或篡改	因为保存在客户端，相对容易被查看、编辑，存在一定的安全风险
数据类型与大小	任意数据类型，大小仅受服务器资源限制	只能存储字符串，大小通常限制在4KB内，如需存储复杂数据结果，需将其序列化（如JSON格式化）
生命周期管理	由服务器控制，可以通过设定过期时间在会话结束后主动清理	既可以由服务器设定(通过Expires/Max-Age属性)，也可以由客户端(浏览器)根据会话行为或用户设置自行管理
依赖关系	通常依赖Cookie来传递Session ID，识别用户会话，但不是绝对依赖，有其他替代方案--如URL重写	独立于服务器状态，由客户端自主维护