Cookie与Session区别详解

今天药忘吃喽~ 2022-12-01 14:13 234阅读 0赞

### 文章目录 ###

*   *  引言
     *  1、Cookie会话机制
     *  2、Session机制
     *  3、Cookie和Session的区别

## 引言 ##

会话（Session）跟踪是Web程序中常用的技术，用于追踪用户的整个会话，常用的会话跟踪技术是Cookie与Session。Cookie通过在客户端记录信息确定用户身份，Session通过在服务器端记录信息确定用户身份。

## 1、Cookie会话机制 ##

*  1.1 简介

HTTP协议是无状态的协议。一旦数据交换完毕，客户端与服务器端的连接就会关闭，再次交换数据需要建立新的连接。这就意味着服务器无法从连接上跟踪会话，因此引入了Cookie会话机制

*  1.2 什么是Cookie

Cookie实际上是一小段的文本信息。客户端请求服务器，如果服务器需要记录该用户状态，就使用response向客户端浏览器颁发一个Cookie。客户端浏览器会把Cookie保存起来。当浏览器再请求该网站时，浏览器把请求的网址连同该Cookie一同提交给服务器。服务器检查该Cookie，以此来辨认用户状态。服务器还可以根据需要修改Cookie的内容。

*  1.3 Cookie的不可跨域性

Cookie在客户端是由浏览器来管理的，浏览器能够保证Google只会操作Google的Cookie而不会操作Baidu的Cookie，从而保证用户的隐私安全。浏览器判断一个网站是否能操作另一个网站Cookie的依据是域名

*  1.4 Cookie的有效期

Cookie的maxAge决定着Cookie的有效期，单位为秒（Second）。

<table> 
 <thead> 
  <tr> 
   <th>值</th> 
   <th>属性</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td>正数</td> 
   <td>将Cookie持久化到文件中</td> 
  </tr> 
  <tr> 
   <td>负数</td> 
   <td>本身及其子窗口有效</td> 
  </tr> 
  <tr> 
   <td>0</td> 
   <td>让Cookie失效，浏览器会自动删除该Cookie</td> 
  </tr> 
 </tbody> 
</table>

*  1.5 Cookie的域名

根据Cookie的隐私安全机制，正常情况下，同一个一级域名下的两个二级域名中是不能交互使用Cookie的，但是可以通过设置Cookie的domain参数来设置代理域名

*  1.6 Cookie的安全属性

HTTP协议不仅是无状态的，而且是不安全的。可以设置Cookie的secure属性为true。浏览器只会在HTTPS和SSL等安全协议中传输此类Cookie。

> 提示：secure属性并不能对Cookie内容加密，因而不能保证绝对的安全性。如果需要高安全性，需要在程序中对Cookie内容加密、解密，以防泄密。

## 2、Session机制 ##

*  2.1 简介

除了使用Cookie，Web应用程序中还经常使用Session来记录客户端状态。Session是服务器端使用的一种记录客户端状态的机制，使用上比Cookie简单一些，相应的也增加了服务器的存储压力。

*  2.2 什么是Session

Session是另一种记录客户状态的机制，不同的是Cookie保存在客户端浏览器中，而Session保存在服务器上。

*  2.3 Session的生命周期

为防止内存溢出，服务器会把长时间内没有活跃的Session从内存删除。这个时间就是Session的超时时间。如果超过了超时时间没访问过服务器，Session就自动失效了。可以通过maxInactiveInterval设置Session的有效期