一、本质理解
1. Cookie：就是浏览器里的“小记事本”，只能存少量东西（约4KB），比如记个“身份编号”，本身不是身份，只是个装信息的小本子。
2. Session：相当于服务器里的“用户档案柜”。你登录后，服务器给你编个唯一编号（Session ID），再把你的信息（比如账号、权限）放进档案柜，然后把编号写进你的“小记事本”（Cookie）里。
3. Token：就是服务器发的“电子门票”。你登录后，服务器直接给你一张加密的门票，你下次去服务器办事，直接出示门票就行，不用再查档案柜，也不依赖“小记事本”。
二、关键区别
- 存储位置不一样
- Cookie：存在你自己的浏览器里，比如电脑或手机的浏览器本地。
- Session：存在网站的服务器里，比如服务器的内存或专门的存储工具里。
- Token：存在你自己的设备里，既可以存浏览器，也能存手机APP的本地存储，位置更灵活。
- 安全性有差异
- Cookie：安全性一般，因为存在客户端，容易被人偷偷查看或修改。
- Session：安全性较高，用户信息都存在服务器里，别人拿不到服务器里的“档案”。
- Token：安全性较高，门票是加密的，别人就算拿到，也改不了里面的信息。
- 跨网站使用能力不同
- Cookie：不能跨网站用，比如A网站的“小记事本”，B网站根本不认，读不到里面的内容。
- Session：也不能跨网站用，因为它依赖Cookie传递编号，Cookie跨不了，它也跨不了。
- Token：能跨网站用，不管是A网站还是B网站，只要是同一个服务器发的“门票”，都能识别。
- 对服务器的负担不同
- Cookie：不增加服务器负担，它只在客户端存储，服务器不用管它。
- Session：会增加服务器负担，服务器要存很多用户的“档案”，人越多，存的东西越多。
- Token：不增加服务器负担，服务器只需要验证“门票”是不是真的，不用存门票相关的信息。
三、使用场景
- Cookie：记你网页的主题颜色、是否勾选“记住我”（存个编号）。
- Session：传统网站登录（比如公司内网、淘宝后台），需要实时管你在不在线。
- Token：手机APP登录（比如微信、抖音）、不同网站间跳转（比如用QQ登录其他平台）。