一、Cookie詳解

（1）簡介

因為HTTP協議是無狀態的，即伺服器不知道使用者上一次做了什麼，這嚴重阻礙了互動式Web應用程式的實現。在典型的網上購物場景中，使用者瀏覽了幾個頁面，買了一盒餅乾和兩飲料。最後結帳時，由於HTTP的無狀態性，不通過額外的手段，伺服器並不知道使用者到底買了什麼。為了做到這點，就需要使用到Cookie了。伺服器可以設定或讀取Cookies中包含資訊，藉此維護使用者跟伺服器會話中的狀態。

Cookie（複數形態：Cookies），是指某些網站為了辨別使用者身份、進行session跟蹤而儲存在使用者本地終端上的資料（通常經過加密）。

Cookie是由服務端生成的，傳送給客戶端（通常是瀏覽器）的。Cookie總是儲存在客戶端中，按在客戶端中的儲存位置，可分為記憶體Cookie和硬碟Cookie：

 

記憶體Cookie由瀏覽器維護，儲存在記憶體中，瀏覽器關閉後就消失了，其存在時間是短暫的。

 

 

硬碟Cookie儲存在硬盤裡，有一個過期時間，除非使用者手工清理或到了過期時間，硬碟Cookie不會被刪除，其存在時間是長期的。所以，按存在時間，可分為非持久Cookie和持久Cookie。

 

 

（2）工作原理

1、建立Cookie

當用戶第一次瀏覽某個使用Cookie的網站時，該網站的伺服器就進行如下工作：

①該使用者生成一個唯一的識別碼（Cookie id），建立一個Cookie物件；

②預設情況下它是一個會話級別的cookie，儲存在瀏覽器的記憶體中，使用者退出瀏覽器之後被刪除。如果網站希望瀏覽器將該Cookie儲存在磁碟上，則需要設定最大時效（maxAge），並給出一個以秒為單位的時間（將最大時效設為0則是命令瀏覽器刪除該Cookie）；

③將Cookie放入到HTTP響應報頭，將Cookie插入到一個 Set-Cookie HTTP請求報頭中。

④傳送該HTTP響應報文。

2、設定儲存Cookie

 

瀏覽器收到該響應報文之後，根據報文頭裡的Set-Cookied特殊的指示，生成相應的Cookie，儲存在客戶端。該Cookie裡面記錄著使用者當前的資訊。

3、傳送Cookie

 

當用戶再次訪問該網站時，瀏覽器首先檢查所有儲存的Cookies，如果某個存在該網站的Cookie（即該Cookie所宣告的作用範圍大於等於將要請求的資源），則把該cookie附在請求資源的HTTP請求頭上傳送給伺服器。

4、讀取Cookie

 伺服器接收到使用者的HTTP請求報文之後，從報文頭獲取到該使用者的Cookie，從裡面找到所需要的東西。

（3）作用

Cookie的根本作用就是在客戶端儲存使用者訪問網站的一些資訊。典型的應用有：

1、記住密碼，下次自動登入。

2、購物車功能。

3、記錄使用者瀏覽資料，進行商品（廣告）推薦。

（4）缺陷

①Cookie會被附加在每個HTTP請求中，所以無形中增加了流量。

②由於在HTTP請求中的Cookie是明文傳遞的，所以安全性成問題。（除非用HTTPS）

③Cookie的大小限制在4KB左右。對於複雜的儲存需求來說是不夠用的。

二、Session詳解

（1）簡介

Session代表伺服器與瀏覽器的一次會話過程，這個過程是連續的，也可以時斷時續的。Session是一種伺服器端的機制，Session 物件用來儲存特定使用者會話所需的資訊。

 

Session由服務端生成，儲存在伺服器的記憶體、快取、硬碟或資料庫中。

（2）工作原理

1、建立Session

當用戶訪問到一個伺服器，如果伺服器啟用Session，伺服器就要為該使用者建立一個SESSION，在建立這個SESSION的時候，伺服器首先檢查這個使用者發來的請求裡是否包含了一個SESSION ID，如果包含了一個SESSION ID則說明之前該使用者已經登陸過併為此使用者建立過SESSION，那伺服器就按照這個SESSION ID把這個SESSION在伺服器的記憶體中查找出來（如果查詢不到，就有可能為他新建立一個），如果客戶端請求裡不包含有SESSION ID，則為該客戶端建立一個SESSION並生成一個與此SESSION相關的SESSION ID。這個SESSION ID是唯一的、不重複的、不容易找到規律的字串，這個SESSION ID將被在本次響應中返回到客戶端儲存，而儲存這個SESSION ID的正是COOKIE，這樣在互動過程中瀏覽器可以自動的按照規則把這個標識傳送給伺服器。 

2、使用Session

我們知道在IE中，我們可以在工具的Internet選項中把Cookie禁止，那麼會不會出現把客戶端的Cookie禁止了，那麼SESSIONID就無法再用了呢？找了一些資料說明，可以有其他機制在COOKIE被禁止時仍然能夠把Session id傳遞迴伺服器。

經常被使用的一種技術叫做URL重寫，就是把Session id直接附加在URL路徑的後面一種是作為URL路徑的附加資訊,表現形式為： 

http://…./xxx;jSession=ByOK3vjFD75aPnrF7C2HmdnV6QZcEbzWoWiBYEnLerjQ99zWpBng!-145788764； 

另一種是作為查詢字串附加在URL後面，表現形式為： 

http://…../xxx?jSession=ByOK3vjFD75aPnrF7C2HmdnV6QZcEbzWoWiBYEnLerjQ99zWpBng!-145788764 

還有一種就是表單隱藏欄位。就是伺服器會自動修改表單，新增一個隱藏欄位，以便在表單提交時能夠把Session id傳遞迴伺服器。

（3）作用

 

Session的根本作用就是在服務端儲存使用者和伺服器會話的一些資訊。典型的應用有：

1、判斷使用者是否登入。

2、購物車功能。

 

三、Cookie和Session的區別

1、存放位置不同

Cookie儲存在客戶端，Session儲存在服務端。

2 、存取方式的不同

 Cookie中只能保管ASCII字串，假如需求存取Unicode字元或者二進位制資料，需求先進行編碼。Cookie中也不能直接存取Java物件。若要儲存略微複雜的資訊，運用Cookie是比擬艱難的。 

而Session中能夠存取任何型別的資料，包括而不限於String、Integer、List、Map等。Session中也能夠直接保管Java Bean乃至任何Java類，物件等，運用起來十分便當。能夠把Session看做是一個Java容器類。 

3、安全性（隱私策略）的不同 

Cookie儲存在瀏覽器中，對客戶端是可見的，客戶端的一些程式可能會窺探、複製以至修正Cookie中的內容。而Session儲存在伺服器上，對客戶端是透明的，不存在敏感資訊洩露的風險。 假如選用Cookie，比較好的方法是，敏感的資訊如賬號密碼等儘量不要寫到Cookie中。最好是像Google、Baidu那樣將Cookie資訊加密，提交到伺服器後再進行解密，保證Cookie中的資訊只要本人能讀得懂。而假如選擇Session就省事多了，反正是放在伺服器上，Session裡任何隱私都能夠有效的保護。 

4、有效期上的不同 

只需要設定Cookie的過期時間屬性為一個很大很大的數字，Cookie就可以在瀏覽器儲存很長時間。 由於Session依賴於名為JSESSIONID的Cookie，而Cookie JSESSIONID的過期時間默許為–1，只需關閉了瀏覽器（一次會話結束），該Session就會失效。

5、對伺服器造成的壓力不同 

Session是保管在伺服器端的，每個使用者都會產生一個Session。假如併發訪問的使用者十分多，會產生十分多的Session，耗費大量的記憶體。而Cookie保管在客戶端，不佔用伺服器資源。假如併發閱讀的使用者十分多，Cookie是很好的選擇。

6、 跨域支援上的不同 

Cookie支援跨域名訪問，例如將domain屬性設定為“.baidu.com”，則以“.baidu.com”為字尾的一切域名均能夠訪問該Cookie。跨域名Cookie如今被普遍用在網路中。而Session則不會支援跨域名訪問。Session僅在他所在的域名內有效。