定义
Cookie，有时也用其复数模式 Cookies，指某些网站为了分别用户身份、进行 session 跟踪而贮存在用户本地终端上的数据（通常通过加密）
Session：在计算机中，尤其是在网络应用中，称为“会话管制”。Session 对象存储特定用户会话所需的属性及配置信息。
很简短的两段定义，然而曾经道出了 cookie 和 session 实质的区别，一个位于客户端，一个位于服务端。这个个性带着浓厚的色调，理论中的利用都离不开这个定义。
存储
这里针对浏览器中的 cookie 来探讨，不要做过多遥想
如果抛开其余个性来说，cookie 实质上是浏览器（http 申请）提供的一种客户端存储的数据，然而这个存储数据有本人的一些个性，比方：cookie 长度的限度，跨域的限度（当然能够在服务端配合的状况下的冲破这种限度）等。就像所有的存储一样，cookie 也能够保留在内存中，也能够保留在磁盘中，只不过保留在磁盘的时候是在浏览器的存储目录下，毕竟 cookie 是基于 http 的，http 申请又基于浏览器。
session 在很多状况下被称为会话，实质上是一种服务端的存储数据。诞生的次要起因是为了解决 http 无状态这种个性。既然是数据，其实就能够存储于任何介质中，像理论利用中，有存储于内存中的，也有存储于 redis 的。所以只有看透了它的实质，存储在哪里可能就只是一个驱动的问题了。其实齐全能够本人写一个程序把 session 的数据存储在 txt 中，只不过性能上可能须要多加思考。
有分割吗
cookie
当用户第一次拜访并登陆一个网站的时候，cookie 的设置以及发送会经验以下 4 个步骤：
- 客户端发送一个申请到服务器 –》
- 服务器发送一个 HttpResponse 响应到客户端，其中蕴含 Set-Cookie 的头部 –》
- 客户端保留 cookie，之后向服务器发送申请时，HttpRequest 申请中会蕴含一个 Cookie 的头部 –》
- 服务器返回响应数据
set-cookie: session=4a0b9b1cce73c469b8a6b6a8aec294d5; domain=.xx.com; path=/; expires=Sun, 25 Aug 2019 08:21:27 -0000; secure; HttpOnly以上过程很显著是一个最常见的场景，cookie 的个性以及值是由服务端来下发，然而不要遗记 cookie 实质上是一种客户端技术，所以客户端其实同样能操作 cookie，比方：登录的时候服务端的返回后果中能够不蕴含 set-cookie 的头部，而是把值通过注释来返回，客户端脚本通过读取返回的注释解析出后果，而后写入 cookie 同样能达到雷同的成果。set-cookie 只不过是 http 协定中曾经约定好的格局，服务端通知客户端须要设置 cookie 的协定而已。当然 cookie 还有其余很多个性（可能随着倒退有所增加或者缩小）：
| 属性 | 介绍 |
|---|---|
| name | name 字段为一个 cookie 的名称 |
| value | value 字段为一个 cookie 的值 |
| domain | 能够拜访此 cookie 的域名 |
| path | 能够拜访此 cookie 的页面门路 |
| expires/Max-Age | 此 cookie 超时工夫。 |
| Size | Size 字段 此 cookie 大小 |
| http | cookie 的 httponly 属性 |
| secure | 设置是否只能通过 https 来传递此条 cookie |
因为浏览器的安全策略，不同域名（何为不同域名，请百度）的 cookie 是不容许的，然而能够通过服务端的配置能够解决这个问题。
session
session 的创立目标初衷就是为了让服务端记住会话，简而言之就是让服务端能辨认进去是哪个客户端，既然要记住，那服务端必须要存储每个会话的数据，比方：理论我的项目中最罕用的用户信息等。服务端存储这些用户数据没问题，最大的一个阻碍是怎么样辨认诸多申请中哪些是同一个会话。要解决这个问题，只依附服务端无奈解决，必须须要客户端来配合：须要上传会话的标识。
客户端上传会话的标识，必须是客户端和服务端都能反对的协定和数据，其实也能够看做是 http 申请反对的协定和数据，既然是基于 http 申请，最不便的就是利用 cookie，cookie 是一种 key-value 的数据存储格局，value 的值正适宜作为 session 的标识（session 也是一种 key-value 的存储），在这种状况下 cookie 终于和 session 有了肯定的分割。
session 机制利用 cookie 来作为标识的传输机制，并不意味着只能用 cookie，只有是服务端和客户端约定好了地位，session 标识我能够放到 http 申请的任何地位（当然 http 申请必须得反对传输才能够）。你齐全能够把 session 的标识放到 http 头 Authorization 字段，只有服务端能正确的读到此值并且正确解析即可。
有些面试官喜爱问 cookie 和 session 的雷同和不同，甚至他们的分割，这样的发问在某种程度上是不太好的，容易让人谬误的认为 cookie 和 session 的分割很亲密，然而其实他们的分割很单纯，纯净的敌人利用关系。
此文篇幅属于 5 分钟系列，更能无效利用碎片化工夫，下一篇，咱们兴许能够讨论一下基于 cookie 和 session 的认证
更多精彩文章
- 分布式大并发系列
- 架构设计系列
- 趣学算法和数据结构系列
- 设计模式系列