Cookie、Session和Token

1. Cookie（HTTP Cookie）

定义与机制：Cookie是服务器发送到用户浏览器并保存在本地的一小块数据，浏览器会在后续请求中自动携带这些数据返回给服务器。Cookie主要用于：

• 会话状态管理（如登录状态）

• 个性化设置（如语言偏好）

• 用户行为跟踪（如分析用户浏览习惯）

技术细节：

• 大小限制：通常每个Cookie不超过4KB

• 生命周期：可通过Expires或Max-Age设置有效期

• 安全属性：Secure（仅HTTPS传输）、HttpOnly（防XSS）、SameSite（防CSRF）

示例应用：

// 服务器设置Cookie Set-Cookie: sessionid=38afes7a8; HttpOnly; Secure; SameSite=Lax

2. Session（会话）

工作原理：Session是服务器端存储的用户会话信息，通常通过Session ID与客户端关联。典型实现方式：

1. 服务器创建Session并存储（内存/数据库）

2. 通过Cookie将Session ID发送给客户端

3. 客户端后续请求携带Session ID

4. 服务器验证Session ID获取用户数据

存储方案对比：

• 内存存储：高性能但服务器重启丢失

• 数据库存储：持久化但增加I/O开销

• 分布式缓存（如Redis）：兼顾性能与可靠性

安全考虑：

• Session固定攻击防护

• 会话超时设置

• 敏感操作需重新认证

3. Token（令牌认证）

现代认证方案：以JWT（JSON Web Token）为代表的Token认证机制包含三个部分：

1. Header（算法类型）

2. Payload（携带数据）

3. Signature（防篡改验证）

典型流程：

1. 用户登录后服务器签发Token

2. 客户端存储Token（LocalStorage/Cookie）

3. 后续请求在Authorization头携带Token

4. 服务器验证签名并提取数据

优势体现：

• 无状态：服务器不需存储会话

• 跨域支持：适合微服务架构

• 细粒度控制：可包含权限信息

安全实践：

// JWT示例 eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9. eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiaWF0IjoxNTE2MjM5MDIyfQ. SflKxwRJSMeKKF2QT4fwpMeJf36POk6yJV_adQssw5c

4. 对比总结

选型建议：

• 传统Web应用：Cookie+Session

• 前后端分离/移动端：Token

• 高安全要求：结合多种机制（如CSRF Token）