cookie 和session

首先明确HTTP是一个无状态的协议（这里的无状态指的是对处理事务没有记忆能力，每次客户端和服务端完成会话之后，服务端不会保存任何的会话信息):每一次的请求都是完全独立的，服务端无法确认当前访问者的身份信息（我只知道你让我干什么，但是我不知道你是谁），所以服务端为了进行会话跟踪（知道是谁在让我做事），就要进行一系列的操作来明确不同的请求是否来自于同一个浏览器，那这个操作就需要通过cookie和session来去实现。

cookie ：

cookie是存储在客户端的，它是服务器发送给浏览器并且保存在客户端的一个数据，它会在浏览器进行下一次访问的时候被携带并且发送到服务端，用来告诉服务端我是谁。

session：

session是另外一种记录服务器和客户端会话状态的机制

session是基于cookie实现的，session存储在服务端，sessionId会被存储在客户端的cookie中

认证流程：

 

1. 用户第一次访问服务器，服务器根据用户提供的相关信息，创建对应的session
2. 请求返回时将session的标识信息sessionID返回给浏览器
3. 浏览器接收到sessionID，将此信息存入到cookie中
4. 当浏览器第二次访问服务器的时候，请求就会自动判断是否存在cookie信息，如果有的话，那么就会自动将cookie信息发送给服务端
5. 服务端收到cookie信息之后，从cookie中获取sessionID，根据sessionID查找对应的session信息，如果没有表示用户没有登陆或者用户登录失效，如果找到的，就证明用户已经登陆并且可以继续执行接下来的操作。

由此可知，sessionID是连接cookie和session的纽带，大部分的系统都是以此原理来验证用户登录状态。 

两者的区别：

• session比cookie更安全，session是存储在服务器端的，cookie是存储在客户端的
• 存储的数据类型不同。cookie只能是字符串数据，想要存储其他的数据类型，只能将其转换成为字符串再进行存储，session可以设置任何的类型
• cookie可以长时间保存（默认登陆CSDN），session一般的失效时间段，默认情况下（客户端关闭）或者session超时就会失效。
• cookie可以存储的数据不能超过4k，session可以存储的数据量高于cookie，但是当访问量过多的情况下，会占用过多的服务器资源。