老生常谈，Cookie与Session

Session简介
Session是对于服务端来说的，客户端是没有Session一说的。Session是服务器在和客户端建立连接时添加客户端连接标志，最终会在服务器软件（Apache、Tomcat、JBoss）转化为一个临时Cookie发送给给客户端，当客户端第一请求时服务器会检查是否携带了这个Session（临时Cookie），如果没有则会添加Session，如果有就拿出这个Session来做相关操作

在这里引用别人家的一个小故事来加深印象：
我们知道，我们用浏览器打开一个网页，用到的是HTTP协议，了解计算机的应该都知道这个协议，它是无状态的，什么是无状态呢？就是说这一次请求和上一次请求是没有任何关系的，互不认识的，没有关联的。但是这种无状态的的好处是快速。所以就会带来一个问题就是，我希望几个请求的页面要有关联，比如：我在www.a.com/login.php里面登陆了，我在www.a.com/index.php也希望是登陆状态，但是，这是2个不同的页面，也就是2个不同的HTTP请求，这2个HTTP请求是无状态的，也就是无关联的，所以无法单纯的在index.php中读取到它在login.php中已经登陆了！

那咋搞呢？我不可能这2个页面我都去登陆一遍吧。或者用笨方法这2个页面都去查询数据库，如果有登陆状态，就判断是登陆的了。这种查询数据库的方案虽然可行，但是每次都要去查询数据库不是个事，会造成数据库的压力。

所以正是这种诉求，这个时候，一个新的客户端存储数据方式出现了：cookie。cookie是把少量的信息存储在用户自己的电脑上，它在一个域名下是一个全局的，只要设置它的存储路径在域名www.a.com下 ，那么当用户用浏览器访问时，php就可以从这个域名的任意页面读取cookie中的信息。所以就很好的解决了我在www.a.com/login.php页面登陆了，我也可以在www.a.com/index.php获取到这个登陆信息了。同时又不用反复去查询数据库。

虽然这种方案很不错，也很快速方便，但是由于cookie 是存在用户端，而且它本身存储的尺寸大小也有限，最关键是用户可以是可见的，并可以随意的修改，很不安全。那如何又要安全，又可以方便的全局读取信息呢？于是，这个时候，一种新的存储会话机制：session 诞生了。

所以Session就是在一次会话中解决2次HTTP的请求的关联，让它们产生联系，让2两个页面都能读取到找个这个全局的session信息。session信息存在于服务器端，所以也就很好的解决了安全问题。

Cookie简介

Cookie在计算机中是个存储在浏览器目录中的文本文件，当浏览器运行时，存储在RAM中发挥作用(此种Cookies称作Session Cookies), 一旦用户从该网站或服务器退出，Cookie可存储在用户本地的硬盘上(此种Cookies称作Persistent Cookies)

Cookie使用限制: Cookie必须在HTML文件的内容输出之前设置; 不同的浏览器对Cookie的处理不一致, 使用时一定要考虑; 客户端用户如果设置禁止Cookie, 则Cookie不能建立.并且在客户端，一个浏览器能创建的Cookie数量最多为300个，并且每个不能超过4KB, 每个Web站点能设置的Cookie总数不能超过20个

我们从一个request请求中来看看cookie和session

1. 客户端第一次发送一个http请求到服务器端时。request会解析请求中携带的jssesionid，用它去找到存在于应用中的session，由于此时服务端没有生成过jssesionid，那么就会调用session的创建方法，生成一个新的jssessionid
2. 服务器端接受客户端请求后，发送一个http响应到客户端，这个响应头中包含Set-Cookie头部，在该头部返回jssesionid的信息。
3. 当客户端再次发送该http请求时，就会在cookie信息中携带该jessionid

这是一次http请求中（http://localhost:8080/test1），包含的请求和响应信息，是对一个系统的初次访问。请求头中，包含的Cookie信息，并没有上文提到的jsessionid, 那是因为这是对系统的初次访问，系统还没生成session。但是访问之后，系统就会生成一个session，而且，会在响应流中设置响应头Set-Cookie，其值为JESSIONID=xxx。这样浏览器对localhost:8080和cookie的联系就有了记忆

这是第二次请求http://localhost:8080/test1, 浏览器会主动在请求头添加包括jsessionid的cookie信息

强调一下cookie中的两个重要属性：

• domain表示的是cookie所在的域，默认为请求的地址，如网址为www.test.com/test/test.aspx，那么domain默认为www.test.com。而跨域访问，如域A为t1.test.com，域B为t2.test.com，那么在域A生产一个令域A和域B都能访问的cookie就要将该cookie的domain设置为.test.com；如果要在域A生产一个令域A不能访问而域B能访问的cookie就要将该cookie的domain设置为t2.test.com。
• path表示cookie所在的目录，默认为/，就是根目录。在同一个服务器上有目录如下：/test/,/test/cd/,/test/dd/，现设一个cookie1的path为/test/，cookie2的path为/test/cd/，那么test下的所有页面都可以访问到cookie1，而/test/和/test/dd/的子页面不能访问cookie2。这是因为cookie能让其path路径下的页面访问。

最后一个小总结
1、cookie数据存放在客户的浏览器上，session数据放在服务器上。
2、cookie不是很安全，别人可以分析存放在本地的cookie并进行cookie欺骗,考虑到安全应当使用session。
3、session会在一定时间内保存在服务器上。当访问增多，会比较占用你服务器的性能,考虑到减轻服务器性能方面，应当使用cookie。
4、单个cookie保存的数据不能超过4K，很多浏览器都限制一个站点最多保存20个cookie。