什么是 Cookie?
Cookie 意为“甜饼”，是由 W3C 组织提出，最早由 Netscape 社区倒退的一种机制。目前 Cookie 曾经成为规范，所有的支流浏览器如 IE、Netscape、Firefox、Opera 等都反对 Cookie。
因为 HTTP 是一种无状态的协定，服务器单从网络连接上无从晓得客户身份。怎么办呢？就给客户端们颁发一个通行证吧，每人一个，无论谁拜访都必须携带本人通行证。这样服务器就能从通行证上确认客户身份了。这就是 Cookie 的工作原理。
Cookie 实际上是一小段的文本信息。客户端申请服务器，如果服务器须要记录该用户状态，就应用 response 向客户端浏览器颁发一个 Cokie。客户端浏览器会把 Cookie 保存起来。当浏览器再申请该网站时，浏览器把申请的网址连同该 Cookie 一起提交给服务器。服务器查看该 Cookie，以此来识别用户状态。服务器还能够依据须要批改 Cookie 的内容。
什么是 Session?
Session 是另一种记录客户状态的机制，不同的是 Cookie 保留在客户端浏览器中，而 Session 保留在服务器上。客户端浏览器拜访服务器的时候，服务器把客户端信息以某种模式记录在服务器上。这就是 Session。客户端浏览器再次拜访时只须要从该 Session 中查找该客户的状态就能够了。如果说 Cookie 机制是通过查看客户身上的“通行证”来确定客户身份的话，那么 Session 机制就是通过查看服务器上的“客户明细表”来确认客户身份。Session 相当于程序在服务器上建设的一份客户档案，客户来访的时候只须要查问客户档案表就能够了。
- Session Cookie 区别？
session：数据保留在客户端
Cookie：数据保留在服务器
session：是一种将会话状态保留在服务器端的技术。
Cookie：是在 HTTP 协定下，Web 服务器保留在用户浏览器（客户端）上的小文本文件，它能够蕴含无关用户的信息。无论何时用户链接到服务器，Web 站点都能够拜访 Cookie 信息。
存储地位不同 ：session 存储在服务器端；cookie 存储在浏览器端。安全性不同：cookie 安全性个别，在浏览器存储，能够被伪造和批改。
容量和个数限度 ：cookie 有容量限度，每个站点下的 cookie 也有个数限度。
存储的多样性：session 能够存储在 Redis 中、数据库中、应用程序中；而 cookie 只能存储在浏览器中。
Cookie
- 相似打孔式的次卡
- 数据保留在客户端
- Cookie 创立流程: 第一次客户端拜访服务器时如果服务器创立了 Cookie 并且将 Cookie 下发到了客户端浏览器, 之后客户端向服务器发送的所有申请都会带着这个下发的 Cookie.
- Cookie 保留工夫: 默认 Cookie 是保留在浏览器内存中, 当浏览器敞开后数据就会被删除, 如果设置了保留工夫, 数据会保留到磁盘中, 工夫到了后主动删除.
Session
- 相似于银行卡
- 数据保留在服务器
- Session 创立流程: 第一次客户端拜访服务器, 执行 getSession 办法会在服务器内存中创立 Session 对象, 同时会给客户端返回一个 SessionID(以 Cookie 的模式返回), 之后同一个客户端再次发出请求时会带着这个 SessionID, 当再次调用 getSesssion 办法时服务器会依据 cookie 中的 sessionID 找到已经创立的 Session 对象, 这样多个连贯拜访到的 session 对象就是同一个 Session 对象, 保留在 Session 对象外面的数据就能够实现多个连贯共享.
了解 Session 机制与其作用；
session 机制是一种服务器端的机制，服务器应用一种相似于散列表的构造（也可能就是应用散列表）来保存信息。
当 程序须要为某个客户端的申请创立一个 session 的时候，服务器首先查看这个客户端的申请里是否已蕴含了一个 session 标识 – 称为 session id，如果已蕴含一个 session id 则阐明以前曾经为此客户端创立过 session，服务器就依照 session id 把这个 session 检索进去应用（如果检索不到，可能会新建一个），如果客户端申请不蕴含 session id，则为此客户端创立一个 session 并且生成 一个与此 session 相关联的 session id，session id 的值应该是一个既不会反复，又不容易被找到法则以仿造的字符串，这个 session id 将被在本次响应中返回给客户端保留。
保留这个 session id 的形式能够采纳 cookie，这样在交互过程中浏 览器能够主动的依照规定把这个标识施展给服务器。个别这个 cookie 的名字都是相似于 SEEESIONID，而。比方 weblogic 对于 web 利用 程序生成的 cookie,JSESSIONID=ByOK3vjFD75aPnrF7C2HmdnV6QZcEbzWoWiBYEnLerjQ99zWpBng!-145788764，它的名字就是 JSESSIONID。
因为 cookie 能够被人为的禁止，必须有其余机制以便在 cookie 被禁止时依然可能把 session id 传递回服务器。常常被应用的一种技术叫做 URL 重写，就是把 session id 间接附加在 URL 门路的前面，附加形式也有两种，一种是作为 URL 门路的 附加信息，表现形式为 http://…../xxx; jsessionid=ByOK3vjFD75aPnrF7C2HmdnV6QZcEbzWoWiBYEnLerjQ99zWpBng!-145788764
另一种是作为查问字符串附加在 URL 前面，表现形式为 http://…../xxx?jsessionid=ByOK3vjFD75aPnrF7C2HmdnV6QZcEbzWoWiBYEnLerjQ99zWpBng!-145788764
这两种形式对于用户来说是没有区别的，只是服务器在解析的时候解决的形式不同，采纳第一种形式也有利于把 session id 的信息和失常程序参数辨别开来。
为了在整个交互过程中始终保持状态，就必须在每个客户端可能申请的门路前面都蕴含这个 session id。
另一种技术叫做表单暗藏字段。就是服务器会主动批改表单，增加一个暗藏字段，以便在表单提交时可能把 session id 传递回服务器。比方上面的表单
<form name=”testform” action=”/xxx”>
<input type=”text”>
</form>
在被传递给客户端之前将被改写成
<form name=”testform” action=”/xxx”>
<input type=”hidden” name=”jsessionid” value=”ByOK3vjFD75aPnrF7C2HmdnV6QZcEbzWoWiBYEnLerjQ99zWpBng!-145788764″>
<input type=”text”>
</form>
这种技术当初已较少利用，笔者接触过的很古老的 iPlanet6(SunONE 应用服务器的前身)就应用了这种技术。
实际上这种技术能够简略的用对 action 利用 URL 重写来代替。
在 议论 session 机制的时候，经常听到这样一种误会“只有敞开浏览器，session 就隐没了”。其实能够设想一下会员卡的例子，除非顾客被动对店家提 出销卡，否则店家相对不会轻易删除顾客的材料。对 session 来说也是一样的，除非程序告诉服务器删除一个 session，否则服务器会始终保留，程序 个别都是在用户做 log off 的时候发个指令去删除 session。然而浏览器从来不会被动在敞开之前告诉服务器它将要敞开，因而服务器基本不会有机会 晓得浏览器曾经敞开，之所以会有这种错觉，是大部分 session 机制都应用会话 cookie 来保留 session id，而敞开浏览器后这个 session id 就隐没了，再次连贯服务器时也就无奈找到原来的 session。如果服务器设置的 cookie 被保留到硬盘上，或者应用某种伎俩改写 浏览器收回的 HTTP 申请头，把原来的 session id 发送给服务器，则再次关上浏览器依然可能找到原来的 session。
恰好是因为敞开浏览器不会导致 session 被删除，迫使服务器为 seesion 设置了一个生效工夫，当间隔客户端上一次应用 session 的工夫超过这个生效工夫时，服务器就能够认为客户端曾经进行了流动，才会把 session 删除以节俭存储空间。
Session 机制
该属性仅用于 HTTP Session，同一个 Session 共享一个 Bean 实例。不同 Session 应用不同的实例。
除了应用 Cookie，Web 应用程序中还常常应用 Session 来记录客户端状态。Session 是服务器端应用的一种记录客户端状态的机制，应用上比 Cookie 简略一些，相应的也减少了服务器的存储压力。
Session 技术则是服务端的解决方案，它是通过服务器来放弃状态的。因为 Session 这个词汇蕴含的语义很多，因而须要在这里明确一下 Session 的含意。首先，咱们通常都会把 Session 翻译成会话，因而咱们能够把客户端浏览器与服务器之间一系列交互的动作称为一个 Session。从这个语义登程，咱们会提到 Session 继续的工夫，会提到在 Session 过程中进行了什么操作等等；其次，Session 指的是服务器端为客户端所开拓的存储空间，在其中保留的信息就是用于放弃状态。从这个语义登程，咱们则会提到往 Session 中寄存什么内容，如何依据键值从 Session 中获取匹配的内容等。要应用 Session，第一步当然是创立 Session 了。那么 Session 在何时创立呢？当然还是在服务器端程序运行的过程中创立的，不同语言实现的应用程序有不同创立 Session 的办法，而在 Java 中是通过调用 HttpServletRequest 的 getSession 办法（应用 true 作为参数）创立的。在创立了 Session 的同时，服务器会为该 Session 生成惟一的 Session id，而这个 Session id 在随后的申请中会被用来从新取得曾经创立的 Session；在 Session 被创立之后，就能够调用 Session 相干的办法往 Session 中减少内容了，而这些内容只会保留在服务器中，发到客户端的只有 Session id；当客户端再次发送申请的时候，会将这个 Session id 带上，服务器承受到申请之后就会根据 Session id 找到相应的 Session，从而再次应用之。正式这样一个过程，用户的状态也就得以放弃了。
什么是 Session
Session 是另一种记录客户状态的机制，不同的是 Cookie 保留在客户端浏览器中，而 Session 保留在服务器上。客户端浏览器拜访服务器的时候，服务器把客户端信息以某种模式记录在服务器上。这就是 Session。客户端浏览器再次拜访时只须要从该 Session 中查找该客户的状态就能够了。
如果说 Cookie 机制是通过查看客户身上的“通行证”来确定客户身份的话，那么 Session 机制就是通过查看服务器上的“客户明细表”来确认客户身份。Session 相当于程序在服务器上建设的一份客户档案，客户来访的时候只须要查问客户档案表就能够了。
Session 的作用
session 的作用和 cookie 差不多，也是用来解决 Http 协定不能维持状态的问题。然而 session 只存储在服务器端的，不会在网络中进行传输，所以较 cookie 来说，session 绝对平安一些。然而 session 是依赖 cookie 的，当用户拜访某一站点时，服务器会为这个用户产生惟一的 session_id, 并把这个 session_id 以 cookie 的模式发送到客户端，当前的客户端的所有申请都会主动携带这个 cookie（前提是浏览器反对并且没有禁用 cookie）