浅谈cookie和session

1.什么是cookie

　　由于HTTP是一种无状态协议,服务器没有办法单单从网络连接上面知道访问者的身份,为了解决这个问题,就诞生了Cookie。Cookie实际上是一小段的文本信息。客户端请求服务器，如果服务器需要记录该用户状态，就使用response向客户端浏览器颁发一个Cookie

客户端浏览器会把Cookie保存起来。当浏览器再请求该网站时，浏览器把请求的网址连同该Cookie一同提交给服务器。服务器检查该Cookie，以此来辨认用户状态。服务器还可以根据需要修改Cookie的内容。

实际就是颁发一个通行证，每人一个，无论谁访问都必须携带自己通行证。这样服务器就能从通行证上确认客户身份了。这就是Cookie的工作原理

　　cookie的内容主要包括name(名字)、value(值)、maxAge(失效时间)、path(路径),domain(域)和secure

　　　　name：cookie的名字，一旦创建，名称不可更改。

　　　　value：cookie的值，如果值为Unicode字符，需要为字符编码。如果为二进制数据，则需要使用BASE64编码.

　　　　maxAge：cookie失效时间，单位秒。如果为正数，则该cookie在maxAge后失效。如果为负数，该cookie为临时cookie，关闭浏览器即失效，浏览器也不会以任何形式保存该cookie。如果为0，表示删除该cookie。默认为-1

　　　　path：该cookie的使用路径。如果设置为"/sessionWeb/"，则只有ContextPath为“/sessionWeb/”的程序可以访问该cookie。如果设置为“/”，则本域名下ContextPath都可以访问该cookie。

　　　　domain:域.可以访问该Cookie的域名。第一个字符必须为".",如果设置为".google.com",则所有以"google.com结尾的域名都可以访问该cookie",如果不设置,则为所有域名

　　　　secure：该cookie是否仅被使用安全协议传输。

2.什么是session

　　Session机制是一种服务端的机制，服务器使用一种类似散列表的结构来保存信息。当程序需要为某个客户端的请求创建一个session的时候，服务器首先检查这个客户端里的请求里是否已包含了一个session标识--sessionID，

如果已经包含一个sessionID，则说明以前已经为此客户端创建过session，服务器就按照sessionID把这个session检索出来使用。如果客户端请求不包含sessionID，则为此客户端创建一个session并且声称一个与此session相关联的sessionID，

sessionID的值应该是一个既不会重复，又不容易被找到规律以仿造的字符串(服务器会自动创建),这个sessionID将被在本次响应中返回给客户端保存。

3.cookie与session的区别

	cookie	session
存储位置不同	cookie的数据信息存放在客户端浏览器上	session的数据信息存放在服务器上。
存储容量不同	单个cookie保存的数据<=4KB，一个站点最多保存20个Cookie	对于session来说并没有上限，但出于对服务器端的性能考虑，session内不要存放过多的东西，并且设置session删除机制。
存储方式不同	cookie中只能保管ASCII字符串，并需要通过编码方式存储为Unicode字符或者二进制数据。	session中能够存储任何类型的数据，包括且不限于string，integer，list，map等。
隐私策略不同	cookie对客户端是可见的，别有用心的人可以分析存放在本地的cookie并进行cookie欺骗，所以它是不安全的。	session存储在服务器上，对客户端是透明对，不存在敏感信息泄漏的风险。
有效期不同	开发可以通过设置cookie的属性，达到使cookie长期有效的效果。	session依赖于名为JSESSIONID的cookie，而cookie JSESSIONID的过期时间默认为-1，只需关闭窗口该session就会失效，因而session不能达到长期有效的效果。
服务器压力不同	cookie保管在客户端，不占用服务器资源。对于并发用户十分多的网站，cookie是很好的选择。	session是保管在服务器端的，每个用户都会产生一个session。假如并发访问的用户十分多，会产生十分多的session，耗费大量的内存。
浏览器支持不同	假如客户端浏览器不支持cookie：cookie是需要客户端浏览器支持的，假如客户端禁用了cookie，或者不支持cookie，则会话跟踪会失效。关于WAP上的应用，常规的cookie就派不上用场了。假如客户端支持cookie：cookie既能够设为本浏览器窗口以及子窗口内有效，也能够设为一切窗口内有效。	假如客户端浏览器不支持cookie：运用session需要使用URL地址重写的方式。一切用到session程序的URL都要进行URL地址重写，否则session会话跟踪还会失效。假如客户端支持cookie：session只能在本窗口以及子窗口内有效。
跨域支持不同	cookie支持跨域名访问。	session不支持跨域名访问