session和cookie

为什么需要session和cookie

　　源于web系统的发展和变迁。

　　web1.0：强调的是资源共享。

　　　　http协议是一种无状态的协议。

　　web2.0：强调的是交互

　　　　交互意味着是有多步操作，请求和请求之间是有依赖存在的。

　　　　引入了session和cookie机制是来实现状态的记录。

 

session和cookie的特征

　　session和cookie都是由服务器生成的，都是用来存储特定的值（键值对应）。

　　　　session是存储在服务器的，而cookie是会返回给客户端的。

　　　　　　形式：响应信息头：set-cookie

　　　　一般来说，SessionID会以类似于cookie的方式返回给客户端。

　　　　　　sessionID是服务器用来识别、操作存储session值的对象的。

　　　　一般来说，在服务器端，session的存储方式有文件方式、数据库方式，sessionID就是用来识别这个文件的（文件名相关）、识别数据库的某一条记录（记录的主键id）。

　　　　　　sessionID并不是session值，是一把钥匙。 

　　　　客户端（浏览器）在发送请求的时候，会自动将存活、可用的cookie封装在请求头中和请求一起发送。

　　　　　　形式：请求信息头：Cookie

 

　　cookie和session都是有其生命周期的。

　　　　cookie的生命周期，一般来说，受两个因素的影响：

　　　　　　cookie自身的存活时间：是服务器生成cookie时设定的。

　　　　　　客户端是否保留了cookie。客户端是否保留cookie，只对客户端自身有影响，对其它封包工具是没有影响的。cookie相当于一张优惠券，只要没过期，别人捡到了也能用。

 

　　　　session的生命周期，一般来说，也受两个因素的影响：

　　　　　　服务器对于session对象的保存的最大时间的设置。

　　　　　　客户端进程是否关闭。因为sessionID是写在内存里的，与客户端进程绑定，没有文件存在客户端。客户端进程是否关闭，只对客户端自身有影响，对其它封包工具是没有影响的。

 

　　cookie和session的作用域：

　　　　一般都是默认的根域。

 

为什么session比cookie安全

　　cookie是存储在客户端的，是可见的，是可以改变的。

　　session是存储在服务器端的，是不可见的，是不可改变的，客户端只能操作sessionID。