Session，cookie和token的区别
前提
HTTP是无状态的协议：每个请求都是完全独立的，服务端无法确认当前访问者的身份信息，无法分辨上一次的请求发送者和这一次请求的发送者是不是同一个客户端。服务器与浏览器为了进行会话跟踪，就必须主动的去维护一个状态，这个状态用于告诉服务端前后两个请求是否来自同一个浏览器。这个状态就需要通过cookie或者session来实现。
Cookie
首先先讲一下客户端访问服务器的流程
- 首先，客户端会发送一个http请求到服务器端。
- 服务器端接受客户端请求后，建立一个session，并发送一个http响应到客户端，这个响应头，其中就包含Set-Cookie头部。该头部包含了sessionId。
- 在客户端发起的第二次请求，假如服务器给了set-Cookie，浏览器会自动在请求头中添加cookie
- 服务器接收请求，分解cookie，验证信息，核对成功后返回response给客户端
cookie存储在客户端：cookie是服务器发送到用户浏览器，并进行保存到本地的数据，它会在浏览器下次向同一服务器再发起请求时被再一次被带到并发送到服务器上面
cookie是不可跨域名的：每个cookie都会绑定单一的域名，无法在别的域名下获取使用。
下面是Cookie中一些重要的属性
下面是一个在url中输入百度的地址的http响应，在这里面可以看到Set-Cookie的具体信息
我们可以看到
在响应头(Response Header)中，使用 Set-Cookie 传递不同的 Cookie 数据，多个数据可以分开成多个 Set-Cookie 头。
在客户端接收到http响应时会将Set-Cookie中的Cookie值保存在客户端，在浏览器的应用中便能看到
有两种类型的 Cookies，一种是 Session Cookies会话 cookie，一种是 Persistent Cookies永久 cookie，如果 Cookie 不包含到期日期，则将其视为会话 Cookie。会话 Cookie 存储在内存中，永远不会写入磁盘，当浏览器关闭时，此后 Cookie 将永久丢失。如果 Cookie 包含有效期 ，则将其视为持久性 Cookie。在到期指定的日期，Cookie 将从磁盘中删除。
永久性 Cookie 主要用于实现一些持久性的记住用户偏好设置、登录状态等功能。当用户再次访问该网站时，可以根据存储在永久性 Cookie 中的信息来恢复用户的个性化设置，提供更好的用户体验。同时，该类型的 Cookie 也常被用于追踪用户行为、广告定向等目的
Session
Session 是客户端与服务器通讯会话跟踪技术，服务器与客户端保持整个通讯的会话基本信息。
session是区别cookie的另一种记录服务器和客户端会话状态的机制
session是基于cookie实现的，session存储在服务器端，sessionid会被存储到客户端的cookie中
下面讲解一下是如何通过Session建立会话的
- 其实在客户端发送http请求的时候，服务器会生成一个SessionID并保存在服务端特定的文件夹中。
- 然后通过响应头的 Set-Cookie：JSESSIONID=XXXXXXX 命令，向客户端发送要求设置 Cookie 的响应。当然这里的Seesion只是占Set-Cookie中的一条。
- 然后浏览器便会将这个Session保存在客户端的Cookie中，也可以说对于客户端来说Session就是Cookie的一部分
- 然后下次发送请求的时候都会带上Cookie，Cookie中会带上Session
- 随后服务器端通过Session的存储找到用户的状态信息，这个会话就建立成功了
我画了个图，大体上流程是这样的
这样，当用户在应用程序的 Web 页之间跳转时，存储在 Session 对象中的变量将不会丢失，而是在整个用户会话中一直存在下去。
当用户请求来自应用程序的 Web 页时，如果该用户还没有会话，则 Web 服务器将自动创建一个 Session 对象。当会话过期或被放弃后，服务器将终止该会话。
Web开发中，web-server可以自动为同一个浏览器的访问用户自动创建session，提供数据存储功能。最常见的，会把用户的登录信息、用户信息存储在session中，以保持登录状态。
Session的缺点
Session 机制有个缺点，比如 A 服务器存储了 Session，就是做了负载均衡后，假如一段时间内 A 的访问量激增，会转发到 B 进行访问，但是 B 服务器并没有存储 A 的 Session，会导致 Session 的失效。
Cookie和Session的区别
- 作用范围不同，Cookie 保存在客户端（浏览器），Session 保存在服务器端。
- 存取方式的不同，Cookie 只能保存 ASCII，Session 可以存任意数据类型，一般情况下我们可以在 Session 中保持一些常用变量信息，比如说 UserId 等。
- 有效期不同，Cookie 可设置为长时间保持，比如我们经常使用的默认登录功能，Session 一般失效时间较短，客户端关闭或者 Session 超时都会失效。
- 隐私策略不同，Cookie 存储在客户端，比较容易遭到不法获取，早期有人将用户的登录名和密码存储在 Cookie 中导致信息被窃取；Session 存储在服务端，安全性相对 Cookie 要好一些。
- 存储大小不同， 单个 Cookie 保存的数据不能超过 4K，Session 可存储数据远高于 Cookie。
session用来跟踪会话
- session 在服务器端，cookie 在客户端（浏览器）
- session 默认被存在在服务器的一个文件里（不是内存）
- session 的运行依赖 session id，而 session id 是存在 cookie 中的，也就是说，如果浏览器禁用了 cookie ，同时 session 也会失效（但是可以通过其它方式实现，比如在 url 中传递 session_id）
- session 可以放在 文件、数据库、或内存中都可以。
- 用户验证这种场合一般会用 session
因此，维持一个会话的核心就是客户端的唯一标识，即 session id
如果浏览器中禁止了 Cookie，如何保障整个机制的正常运转。
第一种方案，每次请求中都携带一个 SessionID 的参数，也可以 Post 的方式提交，也可以在请求的地址后面拼接 xxx?SessionID=123456...。
第二种方案，Token 机制。Token 机制多用于 App 客户端和服务器交互的模式，也可以用于 Web 端做用户状态管理。
Token 的意思是令牌，是服务端生成的一串字符串，作为客户端进行请求的一个标识。Token 机制和 Cookie 和 Session 的使用机制比较类似。
当用户第一次登录后，服务器根据提交的用户信息生成一个 Token，响应时将 Token 返回给客户端，以后客户端只需带上这个 Token 前来请求数据即可，无需再次登录验证。
下面便讲讲Token的实现原理
Token
为什么要使用token呢？
因为cookie和session一些自身的缺点,限制了一些功能的实现,比如:
cookie：优点是节省服务器空间，缺点不安全。不要保存敏感信息。
session：优点是安全，缺点需要服务器空间(服务器重启，则数据丢失)， 是一种最常见的解决方案。而这个时候,我们用token就能更好
而且使用 cookie 时，浏览器会自动将 cookie 随每个请求一起发送，这可能会导致 CSRF（跨站请求伪造）攻击的风险，尤其是当用户未主动发起请求时。
使用 token 时，通常将其放在 HTTP 请求头的 Authorization 部分，而不是 cookie 中。因为 token 不会自动随请求发送，避免了 CSRF 攻击的风险。此外，token 可以选择使用 HTTPS 来加密传输，进一步增强安全性。
token概述
token的意思是令牌，是服务端生成的一串字符串，作为客户端进行请求的一个标识。
- 常见的token组成：UID（用户唯一的身份标识）、time（当前时间的时间戳）、sign（签名，token+请求数据进行几次md5之后的值）
以后，用户与服务端通信的时候，都要发回这个JSON 对象。服务器完全只靠这个对象认定用户身份。 当然，为了防止用户篡改数据，服务器在生成这个对象的时候，会给他加密一下，就是我们看到的一个长长的字符串。
使用token：
使用基于 Token 的身份验证方法，在服务端不需要存储用户的登录记录。大概的流程是这样的
1.前端使用用户名跟密码请求首次登录
2.后服务端收到请求，去验证用户名与密码是否正确
3.验证成功后，服务端会根据用户id、用户名、定义好的秘钥、过期时间生成一个 Token，再把这个 Token 发送给前端
4.前端收到 返回的Token ，把它存储起来，比如放在 Cookie 里或者 Local Storage 里
5.前端每次路由跳转，判断 localStroage 有无 token ，没有则跳转到登录页。有则请求获取用户信息，改变登录状态；
6.前端每次向服务端请求资源的时候需要在请求头里携带服务端签发的Token
7.服务端收到请求，然后去验证前端请求里面带着的 Token。没有或者 token 过期，返回401。如果验证成功，就向前端返回请求的数据。
8.前端得到 401 状态码，重定向到登录页面。
Token和Session的区别
Session是一种记录服务器和客户端会话状态的机制，使服务端有状态化，可以记录会话信息。
token是一种令牌，访问接口(API)时需要的凭证，也像古代进入到城里需要腰牌一样。token使服务器五状态化，不会存储会话信息。
token的安全性要好于session，每次请求都有签名，也就会出现每次的token都会变化，也可以防止一定的攻击。