这是一个老问题了， 也是做web开发必须要弄明白的， 其实是很简单的东西， 想想上学时被它搞得迷糊就觉得好笑！上班后做了开发， 渐渐明白， 共享一下， 希望对大家有所帮助！
一 先说说http吧， 这个是web的根本大法
HTTP协议本身是无状态的，客户端只需要简单的向服务器请求，如：www.google.com/abc.html.服务器将文件内容返回给客户。无论是客户端还是服务器都没有必要纪录彼此过去的行为。然而人们很快发现如果能够提供一些按需生成的动态信息会使web变得更加有用，如www.google.com/search=美女。这种需求一方面迫使 HTML逐步添加了表单、脚本、DOM等客户端行为，另一方面在服务器端则出现了CGI规范以响应客户端的动态请求。 后来用户对WEB有了更高的要求， 如购物， 一个网络商店每天处理N个客户请求，当接到一个请求时，就需要知道这个客户在站点订了几个商品，有没有付款等。为此HTTP协议添加了cookie特性。cookie的作用就是为了解决HTTP协议无状态的缺陷所作出的努力。至于后来出现的session机制则是又一种在客户端与服务器之间保持状态的解决方案。
引用网上朋友的用例（忘记URL了，不好意思）：
让我们用几个例子来描述一下cookie和session机制之间的区别与联系。X曾经常去的一家咖啡店有喝5杯咖啡免费赠一杯咖啡的优惠，然而一次性消费5杯咖啡的机会微乎其微，这时就需要某种方式来纪录某位顾客的消费数量。想象一下其实也无外乎下面的几种方案：
1、该店的店员很厉害，能记住每位顾客的消费数量，只要顾客一走进咖啡店，店员就知道该怎么对待了。这种做法就是协议本身支持状态。
2、发给顾客一张卡片，上面记录着消费的数量，一般还有个有效期限。每次消费时，如果顾客出示这张卡片，则此次消费就会与以前或以后的消费相联系起来。这种做法就是在客户端保持状态。
3、发给顾客一张会员卡，除了卡号之外什么信息也不纪录，每次消费时，如果顾客出示该卡片，则店员在店里的纪录本上找到这个卡号对应的纪录添加一些消费信息。这种做法就是在服务器端保持状态。
由于HTTP协议是无状态的，而出于种种考虑也不希望使之成为有状态的，因此，后面两种方案就成为现实的选择。具体来说cookie机制采用的是在客户端保持状态的方案，而session机制采用的是在服务器端保持状态的方案。同时我们也看到，由于采用服务器端保持状态的方案在客户端也需要保存一个标识，所以session机制可能需要借助于cookie来达到保存标识的目的，但实际上它还有其他选择。注意session并不HTTP的内容，它是保存客户端状态的一种机制。
二 理解cookie
cookie简单来说就是服务器设置一些信息，将它存储在客户端， 就像上面的例子2。（客户端脚本如JavaScript或者VBScript也可以生成cookie，但是目的都是为了存储信息），当客户再次访问服务器时， 浏览器会带上cookies发送请求给服务器。浏览器处理cookies的是有规则的，只发送附和条件的cookies. 意思是，当访问麦当劳时，只需出示麦当劳的会员卡。
三 理解session
session其实更简单， 就像例子3，在客户端只有一个卡号，他每回来的时候，一出示卡号，服务器会查找当前卡号的信息，就知道他的状态了。它的实现可以用cookies,也可以用其它方法，如：作为查询字符串附加在URL后面。
在谈论session机制的时候，常常听到这样一种误解“只要关闭浏览器，session就消失了”。其实可以想象一下会员卡的例子，除非顾客主动对店家提出销卡，否则店家绝对不会轻易删除顾客的资料。对session来说也是一样的，除非程序通知服务器删除一个session，否则服务器会一直保留，程序一般都是在用户做log off的时候发个指令去删除session。然而浏览器从来不会主动在关闭之前通知服务器它将要关闭，因此服务器根本不会有机会知道浏览器已经关闭，之所以会有这种错觉，是大部分session机制都使用会话cookie来保存session id，而关闭浏览器后这个session id就消失了，再次连接服务器时也就无法找到原来的session。如果服务器设置的cookie被保存到硬盘上，或者使用某种手段改写浏览器发出的 HTTP请求头，把原来的session id发送给服务器，则再次打开浏览器仍然能够找到原来的session。恰恰是由于关闭浏览器不会导致session被删除，迫使服务器为seesion设置了一个失效时间，当距离客户端上一次使用session的时间超过这个失效时间时，服务器就可以认为客户端已经停止了活动，才会把session删除以节省存储空间。
