Cookies，Session，Token

Cookies、Session 和 Token 是 Web 开发中常用的三种用户身份验证和状态管理机制，它们各自有不同的特点和使用场景。下面我将分别介绍它们的概念、工作原理和优缺点。

他们本身不是同一种东西，但是都和维持状态信息有关系。

什么是状态信息呢？

一个用户登录之后，我们想后续页面都维持登陆状态，就需要Cookies、Session 和 Token来实现，如果不用的话，就需要每次请求都携带用户名和密码，既不安全还麻烦。

在若依框架里面，客户端首次请求服务器，前端会传递用户名密码验证码uuid给后端，后端会处理参数并传递给前端Jwt令牌token，然后前端把token存储到cookies里，方便后续请求携带。

1. Cookies

概念

Cookies 是存储在用户浏览器中的小段文本数据，由服务器创建并发送给浏览器，浏览器会将这些数据存储在本地，并在后续请求中自动将其发送回服务器。

工作原理

• 服务器创建：当用户访问服务器时，服务器可以创建一个Cookie，并通过HTTP响应的Set-Cookie头将其发送给浏览器。

• 浏览器存储：浏览器收到Set-Cookie头后，会将Cookie存储在本地。

• 自动发送：当浏览器再次向服务器发送请求时，会自动将与当前请求URL匹配的Cookie通过Cookie请求头发送给服务器。

• 服务器验证：服务器从请求头中读取Cookie，根据Cookie中的信息进行验证或处理。

优点

• 自动管理：浏览器会自动处理Cookie的发送和存储，无需前端手动操作。

• 简单易用：实现起来相对简单，适合简单的状态管理。

缺点

• 安全性较低：Cookie存储在客户端，容易被篡改或窃取（如XSS攻击）。

• 大小限制：Cookie的大小通常限制在4KB以内，不适合存储大量数据。

• 跨域限制：Cookie默认只能在设置它的域中使用，跨域访问需要额外配置。

2. Session

概念

Session 是服务器端的一种会话管理机制，用于存储用户的状态信息。每个用户会话都有一个唯一的Session ID，通常存储在Cookie中。

工作原理

• 创建Session：当用户访问服务器时，服务器会创建一个Session对象，并生成一个唯一的Session ID。

• 存储Session ID：服务器将Session ID存储在Cookie中，并通过Set-Cookie头发送给浏览器。

• 浏览器存储：浏览器将Session ID存储在Cookie中，并在后续请求中自动将其发送回服务器。

• 服务器验证：服务器通过Session ID从服务器端的Session存储中查找对应的Session对象，从而获取用户的状态信息。

优点

• 安全性较高：Session数据存储在服务器端，客户端无法直接访问。

• 灵活性高：可以存储任意类型的数据，不受大小限制。

缺点

• 服务器压力大：Session数据存储在服务器端，随着用户数量的增加，服务器的存储和性能压力会增大。

• 扩展性差：在分布式系统中，Session数据需要在多个服务器之间共享，增加了复杂性。

3. Token

概念

Token 是一种无状态的身份验证机制，通常用于现代的Web应用和API接口。Token是一个字符串，通常由服务器生成并发送给客户端，客户端在后续请求中将Token发送回服务器进行验证。

工作原理

• 生成Token：用户登录时，服务器验证用户的凭证（如用户名和密码），如果验证通过，服务器会生成一个Token（如JWT）并发送给客户端。

• 客户端存储：客户端将Token存储在本地（如LocalStorage、SessionStorage或Cookie）。

• 发送Token：客户端在后续请求中将Token添加到HTTP请求头中（通常是Authorization字段）。

• 服务器验证：服务器从请求头中获取Token，验证Token的有效性（如签名、过期时间等），并根据Token中的信息获取用户的身份和权限。

优点

• 无状态：Token是无状态的，服务器不需要存储用户会话信息，减轻了服务器的存储压力。

• 可扩展性高：适合分布式系统和微服务架构，Token可以在多个服务器之间共享。

• 安全性高：Token可以包含签名和加密，防止篡改和伪造。

缺点

• Token大小：Token通常比Session ID大，可能会增加请求的大小。

• 安全性问题：如果Token被窃取，攻击者可以冒充用户。因此，需要使用HTTPS等安全协议来保护Token的传输。

三者的对比

表格

复制

总结

• Cookies适合简单的状态管理，但安全性较低。

• Session适合需要存储大量用户状态信息的场景，但服务器压力较大。

• Token适合现代的Web应用和API接口，尤其是分布式系统，具有高安全性和可扩展性。

在实际开发中，可以根据具体需求选择合适的机制，也可以将它们组合使用以达到最佳效果。