Cookie与Session的作用
一、为什么需要会话管理？
HTTP协议是无状态的（Stateless），即每次请求都是独立的，服务器无法区分不同用户或请求的连续性。例如：
- 用户登录后，访问其他页面时服务器如何知道其已登录？
- 用户将商品加入购物车，刷新页面后如何保留购物车内容？
解决方案：通过 Cookie 和 Session 模拟“有状态”的交互，维持用户会话（Session）。
二、Cookie：客户端的“记忆卡片”
1. Cookie是什么？
Cookie是服务器发送到用户浏览器并存储在用户本地的小型文本文件，用于记录用户状态或偏好。每次请求时，浏览器会自动携带相关Cookie发送给服务器。
2. Cookie的核心作用
- 身份验证：存储会话ID（Session ID），实现“记住我”功能。
- 个性化设置：如网站主题、语言偏好。
- 跟踪行为：广告商通过Cookie记录用户浏览历史。
三、Session：服务器端的“保险箱”
1. Session是什么？
Session是服务器为每个用户创建的独立存储空间，用于保存敏感或大量数据（如用户权限、购物车内容）。Session通过 Session ID 与用户关联，而Session ID通常存储在Cookie中。
2. Session的核心作用
- 存储敏感数据：如用户ID、登录状态、支付信息。
- 管理复杂状态：如多步骤表单、购物车。
- 增强安全性：数据不直接暴露给客户端。
3. Session的实现流程
- 用户首次访问：服务器创建Session并生成唯一Session ID。
- 返回Session ID：通过Cookie或URL参数将Session ID发送给客户端。
- 后续请求：客户端携带Session ID，服务器根据ID查找对应Session数据。
- 会话结束：用户退出或超时后，服务器销毁Session。
四、Cookie与Session的协作关系
| 对比项 | Cookie | Session |
|---|---|---|
| 存储位置 | 客户端浏览器 | 服务器端（内存、数据库、Redis等） |
| 数据内容 | Session ID或少量非敏感数据 | 敏感或大量数据（如用户权限、购物车） |
| 安全性 | 较低（需配置HttpOnly/Secure） | 较高（数据不直接暴露） |
| 依赖关系 | 可独立使用（如存储主题偏好） | 通常依赖Cookie传递Session ID |