Session和cookie

Session和cookie

开发工具与关键技术：MVC
作者：邹贺汗
撰写时间：2019.5.3
首先我们需要了解session和cookie机制，Cookie是浏览器支持的存储方式，类似于python中的dict，拥有Key和Value，http协议：无状态的协议，第一次请求和第二次请求之间是没有任何联系的。
一般情况下这种协议是没问题的，但是在一些特殊的情况下，比如任何一个购物平台，在没有登录的情况下浏览某些商品，那么购物平台也会记住的。而http协议就无法做到记住用户这一点。
如图：

如何解决这个问题呢？我们需要对A和B进行分别的标记，所以cookie就诞生了。(cookie是一种本地的存储)
浏览器A在向服务器发送请求的时候，服务器就会自动给A生成一个ID（B同理），然后把这个ID返回给浏览器A，浏览器A就把这个ID放到cookie中，下一次请求的时候，浏览器就会带着我们的ID向服务器发送请求，服务器就知道是哪一个客户端的了。
不过为了安全，cookie的存储是有要求的，ID是存放在对应的服务器域名的下面，是不能跨域访问。
如图：

为了避免我们每次访问网站的时候都进行用于的登录。我们可以把用户名和密码放入到cookie，每次访问时，传给服务器。
其中有个安全问题：如果有一个人拿到了你的电脑，那么通过分析你的cookie就
可以得到你的私人信息。为了解决这个隐患，就引申出了session。
Session机制：服务器在返回ID的时候，根据用户名和密码，生成了一个随机的字符串，这段字符串是有过期时间的。
Cookies是属于Session对象的一种。但有不同，Cookies不会占服务器资源，是存在客服端内存或者一个cookie的文本文件中；而“Session”则会占用服务器资源。所以，尽量不要使用Session，而使用Cookies。但是我们一般认为cookie是不可靠的，session是可靠地，但是目前很多著名的站点也都以来cookie。有时候为了解决禁用cookie后的页面处理，通常采用url重写技术，调用session中大量有用的方法从session中获取数据后置入页面。

Cookies的安全性能一直是倍受争议的。虽然Cookies是保存在本机上的，但是其信息的完全可见性且易于本地编辑性，往往可以引起很多的安全问题。所以Cookies到底该不该用，到底该怎样用，就有了一个需要给定的底线。

	判断用户是否登陆过网站，以便下次登录时能够直接登录。如果我们删除cookie，则每次登录必须从新填写登录的相关信息。
另一个重要的应用是“购物车”中类的处理和设计。用户可能在一段时间内在同一家网站的不同页面选择不同的商品，可以将这些信息都写入cookie，在最后付款时从cookie中提取这些信息，当然这里面有了安全和性能问题需要我们考虑了。

总结：
cookie：
在网页中，http请求是无状态的。也就是说即使第一次和服务器连接后并且登录成功后，第二次请求服务器依然不能知道当前请求是哪个用户。cookie的出现就是为了解决这个问题，第一次登录后服务器返回一些数据（cookie）给浏览器，然后浏览器保存在本地，当该用户发送第二次请求的时候，就会自动的把上次请求存储的cookie数据自动的携带给服务器，服务器通过浏览器携带的数据就能判断当前用户是哪个了。
session：
session和cookie的作用有点类似，都是为了存储用户相关的信息。不同的是，cookie是存储在本地浏览器，而session存储在服务器。存储在服务器的数据会更加的安全，不容易被窃取。