面试专栏：Cookie，Session和Token

Cookie、Session和Token是Web开发中用于维护用户状态和身份验证的三种不同机制：

1. Cookie：

   • Cookie是由服务器发送到用户浏览器的小数据片段。
   • 浏览器将Cookie存储起来，并在随后的请求中将其发送回服务器。
   • Cookie通常用于存储用户偏好或身份验证信息。
   • 它是客户端存储机制。

2. Session：

   • Session是服务器端使用的用来跟踪用户状态的机制。
   • 当用户登录后，服务器创建一个Session对象，并将其ID发送给用户浏览器（通常通过Cookie）。
   • 在后续的请求中，服务器可以通过Session ID来识别用户。
   • Session数据存储在服务器端，通常有超时设置。

3. Token：

   • Token是服务器生成的一串字符，作为客户端请求的一个凭据。
   • 在RESTful API中常用Token进行身份验证（如JWT - JSON Web Tokens）。
   • Token通常在用户登录时生成，并在以后的每个请求中发送给服务器。
   • 它是无状态的，服务器不需要存储Token信息。

区别

• 存储位置：Cookie存储在客户端，Session存储在服务器端，Token通常由客户端在请求头中发送，但不限制存储方式。
• 安全性：Token通常比Cookie和Session更安全，因为它支持跨域请求，可以避免CSRF攻击。
• 性能影响：Session需要服务器资源进行维护，而Token是无状态的，对服务器资源消耗较少。
• 应用场景：Cookie常用于存储用户偏好，Session用于传统的Web应用，Token多用于构建无状态的API服务。