cookie、session、token的区别-Toy模板网

这篇具有很好参考价值的文章主要介绍了cookie、session、token的区别。希望对大家有所帮助。如果存在错误或未考虑完全的地方，请大家不吝赐教，您也可以点击"举报违法"按钮提交疑问。

当登录一个大部分网站的时候，第一次登录之后，之后的很长一段时间当我们再次访问网站的时候都不需要我们再次登录了，这个是怎么回事呢？

我们都知道http是无状态的，什么是无状态：关闭网页，再次访问服务器，服务器是不能知道是你在访问。所以就是靠接下来就是这下面的几种技术了。

cookie 存储在客户端： cookie 是服务器发送到用户浏览器并保存在本地的一小块数据，它会在浏览器下次向同一服务器再发起请求时被携带并发送到服务器上。

cookie的maxAge字段用来设置过期时间

如果给某个 cookie 设置了 httpOnly 属性，则无法通过 JS 脚本读取到该 cookie 的信息，但还是能通过 Application 中手动修改 cookie，所以只是在一定程度上可以防止 XSS 攻击，不是绝对的安全

cookie 是不可跨域的： 每个 cookie 都会绑定单一的域名，无法在别的域名下获取使用，一级域名和二级域名之间是允许共享使用的（靠的是 domain）。

流程：

当我们发送一个请求给服务器，浏览器通过响应字段的set-cookie来设置cookie，浏览器然后就会把cookie保存起来，之后浏览器每个发送的请求都会带上cookie。说白了，cookie就是存储在浏览器上面的数据而已

session 是另一种记录服务器和客户端会话状态的机制

session 是基于 cookie 实现的，session 存储在服务器端，sessionId 会被存储到客户端的cookie 中

session 认证流程：

用户第一次请求服务器的时候，服务器根据用户提交的相关信息，创建对应的 Session
请求返回时将此 Session 的唯一标识信息 SessionID 返回给浏览器，通过set-cookie设置cookie
浏览器接收到服务器返回的 SessionID 信息后，会将此信息存入到 Cookie 中，同时 Cookie 记录此 SessionID 属于哪个域名
当用户第二次访问服务器的时候，请求会自动判断此域名下是否存在 Cookie 信息，如果存在自动将 Cookie 信息也发送给服务端，服务端会从 Cookie 中获取 SessionID，再根据 SessionID 查找对应的 Session 信息，如果没有找到说明用户没有登录或者登录失效，如果找到 Session 证明用户已经登录可执行后面操作。

过程：

客户端发送一个请求给服务器，服务器然后就会在服务器创建一个session对象，对象里面一般会有sessionid和过期时间，然后通过set-cookie返回给浏览器，然后浏览器之后的每次请求都会自动带上这个给服务器了

安全性： Session 比 Cookie 安全，Session 是存储在服务器端的，Cookie 是存储在客户端的。
存取值的类型不同：Cookie 只支持存字符串数据，想要设置其他类型的数据，需要将其转换成字符串，Session 可以存任意数据类型。
有效期不同： Cookie 可设置为长时间保持，比如我们经常使用的默认登录功能，Session 一般失效时间较短，客户端关闭（默认情况下）或者 Session 超时都会失效。
存储大小不同： 单个 Cookie 保存的数据不能超过 4K，Session 可存储数据远高于 Cookie，但是当访问量过多，会占用过多的服务器资源。