接口基础知识12：cookie、session和token

​课程大纲

‌Cookie、Session和Token是Web应用中常用的身份验证和会话管理机制，各有特点，适用于不同的应用场景。

一、Cookie

1.1 什么是Cookie

Cookie是存储在客户端浏览器中的小段数据，通常用于存储用户偏好设置或用于跟踪用户活动。

Cookie可以包含用户身份验证的信息，如会话ID，但存储在客户端的Cookie信息可能会被用户清除或被第三方拦截。

优点：易于实现和设置。

缺点：安全性较低，因为数据存储在客户端，容易被篡改或窃取。

1.2 Cookie的组成

（Chrome浏览器查看Cookie）

1.Name：Cookie的名称。

2.Value：对应名称的值。

3.Domain：Cookie的域名。

4.Path：Cookie生效的路径（和Domain组合）。

5.Expires：过期时间，过了这个时间后Cookie失效。3种取值：

        ① 整数数值：秒数，超时后过期。

        ② UTC时间字符串。例如：2024-08-25T04:36:07.006Z。

        （T是一个分隔符，Z代表UTC即世界标准时间，是格林尼治时间时间，即北京时间减8h）

        ③ Session：浏览器会话结束，清除cookie。

        一般用户关闭浏览器窗口或标签页时，cookie将不再存在；而一些浏览器重启时，也会将会话恢复，此时Cookie并不会失效。

6. Max-age：生效时间，表示Cookie在多长时间后失效。（整数数值：秒数，超时后过期。）

7. Size：Cookie的长度，name和value的长度和（字节数）。

（不同浏览器cookie个数和大小的限制）

8.HttpOnly：True/False。只允许http请求访问使用cookie，禁止JavaScript读取或修改Cookie。

9.Secure：True/False。是否只允许加密协议HTTPS协议传输Cookie。

10.SameSite：是否允许跨站请求时发送Cookie。

	是否跨域	是否跨站
子域名不同， 如：a.txm.com与b.txm.com	√	×
端口不同， 如：txm.com:8000与txm.com:9000	√	×
IP不同（直接使用IP访问网站）	√	√

11.Partitioned：第三方Cookie分区。

12.Priority：优先级。

详见参考文章《浏览器中Cookie的全面介绍》：

https://blog.csdn.net/qq278672818/article/details/131753651

1.3 Cookie的传递方式

Cookie通过请求头和响应头传输。

（请求header里的Cookie）

客户端请求头中Cookie格式

Cookie:’key1=value1;key2=value2…;key100=value100’

服务器响应头设置Cookie

Set-Cookie:`name=value` [; expires=`date`] [; domain=`domain`] [; path=`path`] [; secure] [; httponly] [; samesite=`strict`/`lax`/`none`]

二、Session

2.1 什么是‌Session

‌Session是服务器端用来跟踪用户会话状态的一种机制。

用户首次访问网站时，服务器会创建一个唯一的会话标识（session ID），并将其存储在用户的Cookie中。服务器通过这个会话标识来识别用户，并保持用户的会话状态。

优点：安全性较高，因为会话数据存储在服务器端，不易被篡改或窃取。

缺点：

① 访问用户多时，可能会造成服务器压力；

② 如果网站架构涉及多个服务器，需要解决Session共享的问题，增加实现的复杂性和成本。

2.2 ‌Session的传递方式

① 使用服务器端的session对象：将要传递的值存储在服务器端的session对象中，然后在不同的页面中读取该session对象获取传递的值。

② 使用URL参数：将要传递的值作为URL的参数传递给下一个页面，下一个页面可以通过获取URL参数来获取传递的值。

③ 使用表单或链接：将要传递的值放在表单的隐藏字段中或者作为链接的参数，在提交表单或点击链接时将值传递给下一个页面。

举例：写一个隐藏的输入框，用户无法看到。

<form id="hiddenForm" action="your-server-endpoint" method="post" style="display: none;"><input type="text" name="username" /><input type="password" name="password" /> <input type="hidden" name="csrf_token" value="your_csrf_token" /></form>

④ 使用cookie：将要传递的值存储在cookie中，在下一个页面读取cookie获取传递的值。

举例：

Cookie: session_id=txm001;user=tuxiaomao

三、Token

3.1 什么是‌Token

Token是一种认证令牌，通常是一小段加密字符串，可以存储在Cookie中或直接作为HTTP请求头的一部分发送。

Token的认证方式类似于临时的证书签名，是一种服务端无状态的认证方式，服务端不会保存与用户相关的任何状态信息，每次请求时只需验证Token的有效性。

优点：安全性较高，因为Token不会被浏览器自动发送到不安全的域，且可以通过加密算法确保其不可伪造性。

缺点：如果Token被泄露，可能会导致安全问题。

3.2 ‌Token的传输方式

① 存储在Cookie中或直接发送。

格式：

Cookie:token=Basic [编码后的字符串]

或

Cookie:token=Bearer [编码后的字符串]

举例：

Cookie:token=Basic dHV4aWFvbWExMjM0NTY=

② HTTP请求头的一部分发送（使用Authorization字段）。

格式：

Authorization:Basic [编码后的字符串]

或

Authorization:Bearer [编码后的字符串]

举例：

Authorization: Bearer sfakgnkasnfdaoie=

3.3 Basic token和Bearer token

Basic token和Bearer token是两种不同的身份验证方式。 

Basic token：用户名和密码使用base64编码后，加前缀“Basic [token字符串]”（注意有空格）。

举例：tuxiaomao123456经过base64编码后，如下。

Authorization:Basic dHV4aWFvbWExMjM0NTY=

Bearer token：调用登录接口，发送用户名密码登录成功，服务器随机返回一个自定义的加密token字符串，客户端接收后，使用该token进行后续请求。

对比项	Basic token	Bearer token
token生成端	客户端	服务器
生成方式	用户名+密码Base64编码。	登录接口，服务器创建并返回。
加密方式	Base64编码（通用编码）	系统自定义加密方式
安全性	低（易破解）	高
时效性	无	有，过期失效（如2h）
token特点	只要用户名密码不变，token固定不变。	token不固定，每次登录返回新token，过期失效需重新登录获取。

总结

Cookie适用于简单的身份验证和跟踪用户活动，但安全性较低；

Session提供了较高的安全性，通过服务器端管理会话状态，但需要解决跨服务器会话共享的问题；

Token则提供了较高的安全性，适用于REST API等无状态服务，但需要注意Token的管理和安全性问题。‌

参考文章：

1、《浏览器中Cookie的全面介绍》

https://blog.csdn.net/qq278672818/article/details/131753651

2、《session跨页面传值的方法是什么》

https://www.yisu.com/ask/56108246.html