3-5：HTTP协议之Cookie和Session

文章目录

一：Cookie和Session
- A：Cookie
- B：Session
- C：Cookie和Session对比

一：Cookie和Session

A：Cookie

前面说过，HTTP的一个特点就是无状态。无状态有很大的好处，就是服务器不会去记忆HTTP的状态，所以不需要额外的资源来记录状态信息，这样就能减轻服务器的负担，能够把更多的CPU和内存用来对外提供服务

无状态同样有很大的缺点，尤其是对于用户而言。正因为HTTP是无状态的，所以在访问某些资源时，用户往往需要登录，重复认证多次，体验很差。

对于无状态的问题，解决方案有很多种，比较简单的就是使用Cookie技术。

Cookie是通过在请求和响应报文中写入Cookie信息来控制客户端的状态，可以这样理解：客户端第一次请求后，服务器会下发一个装有客户信息的“身份铭牌”（也就是set-cookie），后续该客户端再次请求服务器的时候，只需要戴上“身份铭牌”，服务器就能认得，自动完成认证

可以发现这样做是有很大的风险的，这也意味着在传输过程所有信息等于在“裸奔”，如果让一些不怀好意的人截获了cookie，就会造成很大的麻烦。

B：Session

为了解决Cookie的弊端，Session应运而生。

客户端在第一次发送请求时，服务器会创建一个Session，同时会创建一个特殊的Cookie（它其实是一个name为JSEESIONID的固定值，value为session对象的ID），然后将Cookie发送至客户端

当客户端第二次及以后发送请求时，会携带该name为JSESSION的对象，接着服务器会根据name为JSESSIONID的cookie的value（sessionid）去查询session对象，进行身份确认

所以在你登录一个网站的时候，如果服务器端使用的是Session，那么所有的数据都会保存在服务器上，客户端每次请求服务器的时候会发送当前会话sessionid，服务器则根据当前sessionid标识用户，以确定该用户的身份以及是否具有某种权限。由于数据存在服务器上面，所以相对安全。

C：Cookie和Session对比

Cookie数据存放在客户端，Seesion数据存放在服务器
Session相较于Cookie安全
由于Session考虑了安全，因此会影响服务器的性能
单个Cookie在客户端的限制为3k