Cookie、Session

一 Cookie

什么是Cookie？

指某些网站为了辨别用户身份而存储在用户客户端上的数据。

Cookie的分类?

Cookie总是保存在客户端中，按在客户端中的存储位置，可分为内存Cookie和硬盘Cookie。内存Cookie由浏览器维护，保存在内存中，浏览器关闭后就消失了，其存在时间是短暂的。硬盘Cookie保存在硬盘里，有一个过期时间，除非用户手工清理或到了过期时间，硬盘Cookie不会被删除，其存在时间是长期的。所以，按存在时间，可分为非持久Cookie和持久Cookie。

Cookie的用途？

因为HTTP协议是无状态的，即服务器不知道用户上一次做了什么，这严重阻碍了交互式Web应用程序的实现。在典型的网上购物场景中，用户浏览了几个页面，买了一盒饼干和两瓶饮料。最后结帐时，由于HTTP的无状态性，不通过额外的手段，服务器并不知道用户到底买了什么，所以Cookie就是用来绕开HTTP的无状态性的“额外手段”之一。服务器可以设置或读取Cookies中包含信息，借此维护用户跟服务器会话中的状态。

在刚才的购物场景中，当用户选购了第一项商品，服务器在向用户发送网页的同时，还发送了一段Cookie，记录着那项商品的信息。当用户访问另一个页面，浏览器会把Cookie发送给服务器，于是服务器知道他之前选购了什么。用户继续选购饮料，服务器就在原来那段Cookie里追加新的商品信息。结帐时，服务器读取发送来的Cookie就行了。

Cookie另一个典型的应用是当登录一个网站时，网站往往会请求用户输入用户名和密码，并且用户可以勾选“下次自动登录”。如果勾选了，那么下次访问同一网站时，用户会发现没输入用户名和密码就已经登录了。这正是因为前一次登录时，服务器发送了包含登录凭据（用户名加密码的某种加密形式）的Cookie到用户的硬盘上。第二次登录时，如果该Cookie尚未到期，浏览器会发送该Cookie，服务器验证凭据，于是不必输入用户名和密码就让用户登录了。

总的来说Cookie一般用来识别用户和记录历史。

Cookie存在的问题？

用户可以随意篡改 Cookie，而从导致不安全性。

如何使用Cookie？

• 1. 服务器通过HTTP响应头设置Set-Cookie字段给客户端一段字符串。
• 2. 客户端收到这段字符串之后，要在一段时间内保存下来。
• 3. 以后客户端每次访问相同域名的网页时，都需要带上这一段字符串，用来表明身份。
• 4. Cookie 默认在用户关闭页面后就失效，后台代码可以任意设置 Cookie 的过期时间。
• 5. Cookie的大小大概在4kb左右。

二 Session

• 1. 将 SessionID（随机数）通过 Cookie 发给客户端
• 2. 客户端收到这一段字符串，访问时会带上这一段字符串，服务器会读取 SessionID
• 3. 服务器有一块内存（哈希表）保存了所有 session
• 4. 服务器根据 SessionID 的值得到对应用户的隐私信息，如 id、email
• 5. 这块内存（哈希表）就是服务器上的所有 session