cookie session token的区别

小鱼儿 2023-10-08 23:55 21阅读 0赞

首先我们需要知道，之所以出现cookie、seesion等，是因为http是无状态的。

> 无状态：就是说这一次请求和上一次请求是没有任何关系的，互不认识的，没有关联的。

## 1. cookie ##

比如在淘宝的某个页面中，你进行了登陆操作。当你跳转到商品页时，服务端如何知道你是已经登陆的状态。  
首先产生了 cookie 这门技术来解决这个问题，cookie 是 http 协议的一部分，它的处理分为如下几步：

1.  服务器向客户端发送 cookie。
2.  通常使用 HTTP 协议规定的 set-cookie 头操作。
3.  规范规定 cookie 的格式为 name = value 格式，且必须包含这部分。
4.  浏览器将 cookie 保存。
5.  每次请求浏览器都会将 cookie 发向服务器。

由于cookie是存在客户端上的，所以浏览器加入了一些限制确保cookie不会被恶意使用，同时不会占据太多磁盘空间，所以每个域的cookie数量是有限的。

若不设置过期时间，则表示这个cookie的生命期为浏览器会话期间，关闭浏览器窗口，cookie就消失。

若设置了过期时间，浏览器就会把cookie保存在硬盘上，关闭后再次打开浏览器，这些cookie仍然有效直到超过设定的过期时间。

## 2. session ##

当用户打开某个web应用时，便与web服务器产生一次session。服务器使用session把用户的信息临时保存在了服务器上，用户离开网站后session会被销毁。

当程序需要为某个客户端的请求创建一个session时，服务器首先检查这个客户端的请求里是否已包含了一个session标识（称为session id），如果已包含则说明以前已经为此客户端创建过session,服务器就按照session id把这个session检索出来使用（检索不到，会新建一个），如果客户端请求不包含session id，则为此客户端创建一个session并且生成一个与此session相关联的session id。

session id将被 在本次响应中返回给客户端保存。保存这个session id的方式可以采用cookie，这样在交互过程中浏览器 可以自动的按照规则把这个标识发送给服务器。一般这个cookie的名字就是类似于`SESSIONID`。

由于cookie可以被人为的禁止，必须有其他机制以便在cookie被禁止时仍然能够把session id传递回服务器。

> URL重写（常用），就是把session id直接附加在URL路径的后面。

## 3. cookie和session的区别 ##

1、cookie数据存放在客户的浏览器上，session数据放在服务器上。

2、cookie不是很安全，别人可以分析存放在本地的COOKIE并进行COOKIE欺骗  
考虑到安全应当使用session。

3、session会在一定时间内保存在服务器上。当访问增多，会比较占用你服务器的性能  
考虑到减轻服务器性能方面，应当使用COOKIE。

4、单个cookie保存的数据不能超过4K，很多浏览器都限制一个站点最多保存20个cookie。

## 4. token ##

访问资源接口（API）时所需要的资源凭证，简单 token 的组成：uid(用户唯一的身份标识)、time(当前时间的时间戳)、sign（签名，token 的前几位以哈希算法压缩成的一定长度的十六进制字符串）

token 的身份验证流程如下：

1.  客户端使用用户名跟密码请求登录
2.  服务端收到请求，去验证用户名与密码
3.  验证成功后，服务端会签发一个 token 并把这个 token 发送给客户端
4.  客户端收到 token 以后，会把它存储起来，比如放在 cookie 里或者 localStorage 里
5.  客户端每次向服务端请求资源的时候需要带着服务端签发的 token
6.  服务端收到请求，然后去验证客户端请求里面带着的 token ，如果验证成功，就向客户端返回请求的数据

### 4.1 JWT ###

JSON Web Token（简称 JWT），是为了在网络应用环境间传递声明而执行的一种基于 JSON 的开放标准。简单来说就是token的一种。

## 5. seesion和token看起来差不多，到底有啥区别？ ##

token 和 session 本质功能相似，但如果跨站使用，token 会更方便一些。

1.  token支持移动设备：传统的HttpSession依靠浏览器的Cookie存放SessionId，所以要求客户端必须是浏览器。
2.  token无状态、可扩展：基于Token的身份验证是无状态的，我们不将用户信息存在服务器中。这种概念解决了在服务端存储信息时的许多问题。NoSession意味着你的程序可以根据需要去增减机器，而不用去担心用户是否登录，不用去担心扩展性的问题。
3.  token更安全：Token用于身份验证和授权，可以提供额外的安全措施。一般情况下，Token包含数字签名，可以验证用户身份以及确保数据的完整性和一致性。