一.什么是cookie

http协议是无状态的（对于交互性场景没有记忆能力），在很多场景下往往需要保持会话状态，因此cookie和session应运而生。

cookie的内容就是保存的一小段文本信息，这些文本信息组成了一个通行证。存在本地的Cookies实际上是一个sqlite数据库文件（小型文本文件）

客户端浏览器会把Cookie保存起来。当浏览器再请求该网站时，浏览器把请求的网址连同该Cookie一同提交给服务器。服务器检查该Cookie，以此来辨认用户状态。服务器还可以根据需要修改Cookie的内容。

二.cookie的特性

1.cookie不可跨域性

Cookie在客户端是由浏览器来管理的。浏览器能够保证Google只会操作Google的Cookie而不会操作Baidu的Cookie，从而保证用户的隐私安全。浏览器判断一个网站是否能操作另一个网站Cookie的依据是域名。Google与Baidu的域名不一样，因此Google不能操作Baidu的Cookie。

解决：

1. 服务端将Cookie写到客户端后，客户端对Cookie进行解析，将Token解析出来，此后请求都把这个Token带上就行了

2.多个域名共享Cookie，在写到客户端的时候设置Cookie的domain。

3.将Token保存在SessionStroage中（不依赖Cookie就没有跨域的问题了）

2.cookie有数量与大小的限制

1）数量在50个左右
2）大小在4kb左右

3.生存周期：Cookie 可以设置其生存周期，从而决定何时删除。

4.cookie不光可以服务器设置（用set-cookie），也可以客户端设置。

document.cookie
key:value

5.安全性：Cookie 可以被加密以保护其内容，但它们也可以被盗用或篡改，因此不应该在 cookie 中存储敏感信息，如用户名和密码

6.追踪性：Cookie 允许网站追踪用户行为，因此它们也被用于行为广告。

三、cookie的属性

1、name cookie的名字，唯一性

2、value cookie的值

3、domain 设置cookie在哪个域名下是有效的

4、path cookie的路径

5、expires cookie的过期时间

6、max-age cookie的有效期,

正数，则表示该Cookie会在maxAge秒之后自动失效

负数，则表示该Cookie仅在本浏览器窗口以及本窗口打开的子窗口内有效，关闭窗口后该Cookie即失效

‍0，则表示删除该Cookie

7、HttpOnly 有这个标记的cookie，前端是无法获取的

8、Secure 设置cookie只能通过https协议传输

9、SameSite 设置cookie在跨域请求的时候不能被发送。

四、什么是session

Session 代表着服务器和客户端一次会话的过程。Session 对象存储特定用户会话所需的属性及配置信息。这样，当用户在应用程序的 Web 页之间跳转时，存储在 Session 对象中的变量将不会丢失，而是在整个用户会话中一直存在下去。当客户端关闭会话，或者 Session 超时失效时会话结束。

五、Cookie 和 Session 有什么不同？

作用范围不同，Cookie 保存在客户端（浏览器），Session 保存在服务器端。
存取方式的不同，Cookie 只能保存 ASCII，Session 可以存任意数据类型，一般情况下我们可以在 Session 中保持一些常用变量信息，比如说 UserId 等。
有效期不同，Cookie 可设置为长时间保持，比如我们经常使用的默认登录功能，Session 一般失效时间较短，客户端关闭或者 Session 超时都会失效。
隐私策略不同，Cookie 存储在客户端，比较容易遭到不法获取，早期有人将用户的登录名和密码存储在 Cookie 中导致信息被窃取；Session 存储在服务端，安全性相对 Cookie 要好一些。
存储大小不同， 单个 Cookie 保存的数据不能超过 4K，Session 可存储数据远高于 Cookie。

六、Cookie 和 Session 是如何配合

用户第一次请求服务器的时候，服务器根据用户提交的相关信息，创建创建对应的 Session ，请求返回时将此 Session 的唯一标识信息 SessionID 返回给浏览器，浏览器接收到服务器返回的 SessionID 信息后，会将此信息存入到 Cookie 中，同时 Cookie 记录此 SessionID 属于哪个域名。

当用户第二次访问服务器的时候，请求会自动判断此域名下是否存在 Cookie 信息，如果存在自动将 Cookie 信息也发送给服务端，服务端会从 Cookie 中获取 SessionID，再根据 SessionID 查找对应的 Session 信息，如果没有找到说明用户没有登录或者登录失效，如果找到 Session 证明用户已经登录可执行后面操作。

根据以上流程可知，SessionID 是连接 Cookie 和 Session 的一道桥梁，大部分系统也是根据此原理来验证用户登录状态。

七、浏览器中禁止了 Cookie，如何保障整个机制的正常运转

第一种方案，每次请求中都携带一个 SessionID 的参数，也可以 Post 的方式提交，也可以在请求的地址后面拼接 xxx?SessionID=123456…。

第二种方案，Token 机制。Token 机制多用于 App 客户端和服务器交互的模式，也可以用于 Web 端做用户状态管理。

Token 的意思是“令牌”，是服务端生成的一串字符串，作为客户端进行请求的一个标识。Token 机制和 Cookie 和 Session 的使用机制比较类似。

当用户第一次登录后，服务器根据提交的用户信息生成一个 Token，响应时将 Token 返回给客户端，以后客户端只需带上这个 Token 前来请求数据即可，无需再次登录验证。