cookie和session区别

COOKIE和session都是用来跟踪浏览器用户身份的会话方式。
 
COOKIE的机制

COOKIE是浏览器（User Agent）访问一些网站后，这些网站存放在客户端的一组数据，用于使网站等跟踪用户，实现用户自定义功能。

COOKIE的Domain和Path属性标识了这个COOKIE是哪一个网站发送给浏览器的；COOKIE的Expires属性标识了COOKIE的有效时间，当COOKIE的有效时间过了之后，这些数据就被自动删除了。

如 果不设置过期时间，则表示这个COOKIE生命周期为浏览器会话期间，只要关闭浏览器窗口，COOKIE就消失了。这种生命期为浏览会话期的COOKIE 被称为会话COOKIE。会话COOKIE一般不保存在硬盘上而是保存在内存里。如果设置了过期时间，浏览器就会把COOKIE保存到硬盘上，关闭后再次 打开浏览器，这些COOKIE依然有效直到超过设定的过期时间。存储在硬盘上的COOKIE可以在不同的浏览器进程间共享，比如两个IE窗口。而对于保存 在内存的COOKIE，不同的浏览器有不同的处理方式。
 
Session的机制

Session 是存放在服务器端的类似于HashTable结构（每一种Web开发技术的实现可能不一样，下文直接称之为HashTable）来存放用户数据，当浏览器 第一次发送请求时，服务器自动生成了一个HashTable和一个Session ID用来唯一标识这个HashTable，并将其通过响应发送到浏览器。当浏览器第二次发送请求，会将前一次服务器响应中的Session ID放在请求中一并发送到服务器上，服务器从请求中提取出Session ID，并和保存的所有Session ID进行对比，找到这个用户对应的HashTable。

一 般情况下，服务器会在一定时间内（默认20分钟）保存这个HashTable，过了时间限制，就会销毁这个HashTable。在销毁之前，程序员可以将 用户的一些数据以Key和Value的形式暂时存放在这个HashTable中。当然，也有使用数据库将这个HashTable序列化后保存起来的，这样 的好处是没了时间的限制，坏处是随着时间的增加，这个数据库会急速膨胀，特别是访问量增加的时候。一般还是采取前一种方式，以减轻服务器压力。
 
Session的客户端实现形式（即Session ID的保存方法）

一般浏览器提供了两种方式来保存，还有一种是程序员使用HTML隐藏域的方式自定义实现：

[1] 使用COOKIE来保存，这是最常见的方法，本文“记住我的登录状态”功能的实现正式基于这种方式的。服务器通过设置COOKIE的方式将Session ID发送到浏览器。如果我们不设置这个过期时间，那么这个COOKIE将不存放在硬盘上，当浏览器关闭的时候，COOKIE就消失了，这个Session ID就丢失了。如果我们设置这个时间为若干天之后，那么这个COOKIE会保存在客户端硬盘中，即使浏览器关闭，这个值仍然存在，下次访问相应网站时，同 样会发送到服务器上。

[2] 使用URL附加信息的方式，也就是像我们经常看到JSP网站会有aaa.jsp?JSESSIOnID=*一样的。这种方式和第一种方式里面不设置COOKIE过期时间是一样的。

[3] 第三种方式是在页面表单里面增加隐藏域，这种方式实际上和第二种方式一样，只不过前者通过GET方式发送数据，后者使用POST方式发送数据。但是明显后者比较麻烦。
 
COOKIE与session的区别：

COOKIE数据保存在客户端，session数据保存在服务器端。

简单的说，当你登录一个网站的时候，如果web服务器端使用的是session,那么所有的数据都保存在服务器上面，客户端每次请求服务器的时候会发送 当前会话的sessionid，服务器根据当前sessionid判断相应的用户数据标志，以确定用户是否登录，或具有某种权限。由于数据是存储在服务器 上面，所以你不能伪造，但是如果你能够获取某个登录用户的sessionid，用特殊的浏览器伪造该用户的请求也是能够成功的。sessionid是服务 器和客户端链接时候随机分配的，一般来说是不会有重复，但如果有大量的并发请求，也不是没有重复的可能性，我曾经就遇到过一次。登录某个网站，开始显示的 是自己的信息，等一段时间超时了，一刷新，居然显示了别人的信息。

 如 果浏览器使用的是 COOKIE，那么所有的数据都保存在浏览器端，比如你登录以后，服务器设置了 COOKIE用户名(username),那么，当你再次请求服务器的时候，浏览器会将username一块发送给服务器，这些变量有一定的特殊标记。服 务器会解释为 COOKIE变量。所以只要不关闭浏览器，那么 COOKIE变量便一直是有效的，所以能够保证长时间不掉线。如果你能够截获某个用户的 COOKIE变量，然后伪造一个数据包发送过去，那么服务器还是认为你是合法的。所以，使用 COOKIE被攻击的可能性比较大。如果设置了的有效时间，那么它会将 COOKIE保存在客户端的硬盘上，下次再访问该网站的时候，浏览器先检查有没有 COOKIE，如果有的话，就读取该 COOKIE，然后发送给服务器。如果你在机器上面保存了某个论坛 COOKIE，有效期是一年，如果有人入侵你的机器，将你的  COOKIE拷走，然后放在他的浏览器的目录下面，那么他登录该网站的时候就是用你的的身份登录的。所以 COOKIE是可以伪造的。当然，伪造的时候需要主意，直接copy   COOKIE文件到 COOKIE目录，浏览器是不认的，他有一个index.dat文件，存储了 COOKIE文件的建立时间，以及是否有修改，所以你必须先要有该网站的 COOKIE文件，并且要从保证时间上骗过浏览器，曾经在学校的vbb论坛上面做过试验，copy别人的 COOKIE登录，冒用了别人的名义发帖子，完全没有问题。
 
更有效的方法就是自己定义一个浏览器，我们称之为黑客浏览器，比如我们可以自己改造firefox浏览器，可以自定义sessionid，自定义 COOKIE值，那样就可以随心所欲了。网络安全又将面临严峻的挑战。
 
两个都可以用来存私密的东西，同样也都有有效期的说法，区别在于：

session是放在服务器上的，过期与否取决于服务期的设定，

COOKIE是存在客户端的，过期与否可以在COOKIE生成的时候设置进去。

1、COOKIE数据存放在客户的浏览器上，session数据放在服务器上

2、COOKIE不是很安全，别人可以分析存放在本地的COOKIE并进行COOKIE欺骗，考虑到安全应当使用session

3、session会在一定时间内保存在服务器上。当访问增多，会比较占用你服务器的性能，考虑到减轻服务器性能方面，应当使用COOKIE

4、单个COOKIE在客户端的限制是3K，就是说一个站点在客户端存放的COOKIE不能3K。

5、300个的限制我没听说

6、所以个人建议：

将登陆信息等重要信息存放为SESSION，其他信息如果需要保留，可以放在COOKIE中
 
实现“记住我的登录状态”的功能

前面我们了解到，如果我们将Session ID通过COOKIE发送到客户端的时候设置其过期时间为1年，那么在今后的一年时间内，客户端访问我的网站的时候都回将这个Session ID值发送到服务器上，服务器根据这个Session ID从内存或者数据库里面恢复存放Key-Value对的Hashtable。

其 实这已经很好的实现了我们的功能了。但是，前面也提到了，实际上Session并不会一直都存在的，过了一定的时间之后，服务器上的Session就被销 毁了，以减轻服务器的访问压力。当服务器上的数据被销毁后，即使客户端上存放了COOKIE也没有办法“记住我的登录状态”了。

通 用的实现办法是，将用户的用户名和加密之后的密码也通过COOKIE的方式存放在客户端，当服务器上的Session销毁以后，使用COOKIE里面存放 的用户名和加密之后的密码重新执行一次登录操作，重建Session，并更新客户端上COOKIE中存放的的Session ID，而这个操作是发生在用户请求一个需要身份验证的页面资源的背后，对于用户来讲是透明的，于是就达到了“记住我的登录状态”的目的了。