为什么会有cookie?
因为http是一种无状态协议,也就是说每次连接之后就不会记住上一次连接。而Cookie就像是服务器给每个来访问的用户贴的标签,而这些标签就是对来访问的客户端的独有的身份的一个标识,这里就如同每个人的身份证一样,带着你的个人信息。而所以Cookie是存在客户端的,这里其实就是在你的浏览器中。每个cookie的大小为最多4K,
无状态的原因:浏览器与服务器是使用 socket 套接字进行通信的,服务器将请求结果返回给浏览器之后,会关闭当前的 socket 连接,而且服务器也会在处理页面完毕之后销毁页面对象。
cookie是用来做什么的?
cookie机制采用的是在客户端保持状态。当一个客户端第一次连接过来的时候,服务端就会给他打一个标签,这里就如同给你发了一个身份证,当你下次带着这个身份证来的时候,服务器就知道你是谁了。
实现状态保持主要有两种方式:
1.在客户端存储信息使用Cookie
2.在服务器端存储信息使用Session
cookie的种类:
会话Cookie:不设置过期时间,保存在浏览器的内存中,关闭浏览器,Cookie便被销毁
普通Cookie:设置了过期时间,保存在硬盘上
Cookie的主要内容包括:
名字,值,过期时间,路径和域
cookie是不能进行跨域的
什么是session?
称为“会话控制”。Session 对象存储特定用户会话所需的属性及配置信息。
客户端浏览器访问服务器的时候,服务器把客户端信息以某种形式记录在服务器上。这就是Session。
Cookie机制是通过检查客户身上的“通行证”来确定客户身份的话,那么Session机制就是通过检查服务器上的“客户明细表”来确认客户身份。Session相当于程序在服务器上建立的一份客户档案,客户来访的时候只需要查询客户档案表就可以了。
session是用来做什么的?
通过服务器来保持状态的。session的原理:
基本原理是服务端为每一个session维护一份会话信息数据,而客户端和服务端依靠一个全局唯一的标识来访问会话信息数据。用户访问web应用时,服务端程序决定何时创建session。
创建session的步骤:
- 生成全局唯一标识符(sessionid);
- 开辟数据存储空间。一般会在内存中创建相应的数据结构,但这种情况下,系统一旦掉电,所有的会话数据就会丢失,如果是电子商务网站,这种事故会造成严重的后果。不过也可以写到文件里甚至存储在数据库中,这样虽然会增加I/O开销,但session可以实现某种程度的持久化,而且更有利于session的共享;
- 将session的全局唯一标示符发送给客户端。
cookie和session的区别:
cookie保存在客户端浏览器中,而Session保存在服务器上。
cookie不是很安全,别人可以分析存放在本地的COOKIE并进行COOKIE欺骗,考虑到安全应当使用session;
session会在一定时间内保存在服务器上。当访问增多,会比较占用你服务器的性能。考虑到减轻服务器性能方面,应当使用cookie;
为什么session可以状态保持还需要cookie?
虽然Session保存在服务器,对客户端是透明的,它的正常运行仍然需要客户端浏览器的支持。这是因为Session需要使用Cookie作为识别标志。HTTP协议是无状态的,Session不能依据HTTP连接来判断是否为同一客户,因此服务器向客户端浏览器发送一个名为JSESSIONID的Cookie,它的值为该Session的id(也就是HttpSession.getId()的返回值)。Session依据该Cookie来识别是否为同一用户。
cookie和session是否可以同时使用?
Session是服务端支持 cookie是客户端支持 一般情况下两个都能使用的 除非你禁用
Session使用就跟一般的数组变量赋值读取差不多($_SESSION[xxx]) 前提是Session开启
cookie的读取就跟一般的数组变量一样($_COOKIE[xxx]) 设置使用setcookie函数
session和cookie使http变为有状态的
基于session认证的缺点:
1.session是存储在服务器端的内存,每次经过一次认证之后,都要在服务端做一次记录,以方便用户下次请求的鉴别,如果认证永辉增加,服务器的开销会很大。
2.用户认证以后,服务端做认证记录,下次请求必须要在这台这台服务器上请求,才能拿到授权资源,这样在分布式的应用中,相应的限制了负载均衡器的能力,也就限制了应用的扩展能力。
3.CSRF因为基于cookie来进行用户识别的,cookie如果被截获,用户就会很容易受到跨站请求伪造的攻击。