本文分別對Cookie與Session做一個介紹和總結(jié)缆毁，并分別對兩個知識點進行對比分析岛蚤，讓大家對Cookie和Session有一個更深入的了解邑狸，并對自己的開發(fā)工作中靈活運用帶來啟示。
cookie機制
Cookies是服務(wù)器在本地機器上存儲的小段文本并隨每一個請求發(fā)送至同一個服務(wù)器涤妒。IETF RFC 2965 HTTP State Management Mechanism 是通用cookie規(guī)范单雾。網(wǎng)絡(luò)服務(wù)器用HTTP頭向客戶端發(fā)送cookies，在客戶終端她紫，瀏覽器解析這些cookies并將它們保存為一個本地文件硅堆，它會自動將同一服務(wù)器的任何請求縛上這些cookies 。
具體來說cookie機制采用的是在客戶端保持狀態(tài)的方案贿讹。它是在用戶端的會話狀態(tài)的存貯機制渐逃，他需要用戶打開客戶端的cookie支持。cookie的作用就是為了解決HTTP協(xié)議無狀態(tài)的缺陷所作的努力民褂。
正統(tǒng)的cookie分發(fā)是通過擴展HTTP協(xié)議來實現(xiàn)的茄菊，服務(wù)器通過在HTTP的響應(yīng)頭中加上一行特殊的指示以提示瀏覽器按照指示生成相應(yīng)的cookie疯潭。然而純粹的客戶端腳本如JavaScript也可以生成cookie。而cookie的使用是由瀏覽器按照一定的原則在后臺自動發(fā)送給服務(wù)器的面殖。瀏覽器檢查所有存儲的cookie竖哩，如果某個cookie所聲明的作用范圍大于等于將要請求的資源所在的位置，則把該cookie附在請求資源的HTTP請求頭上發(fā)送給服務(wù)器脊僚。
cookie的內(nèi)容主要包括：名字相叁，值，過期時間吃挑，路徑和域钝荡。路徑與域一起構(gòu)成cookie的作用范圍。若不設(shè)置過期時間舶衬，則表示這個cookie的生命期為瀏覽器會話期間埠通，關(guān)閉瀏覽器窗口，cookie就消失逛犹。這種生命期為瀏覽器會話期的cookie被稱為會話cookie端辱。會話cookie一般不存儲在硬盤上而是保存在內(nèi)存里，當(dāng)然這種行為并不是規(guī)范規(guī)定的虽画。若設(shè)置了過期時間舞蔽，瀏覽器就會把cookie保存到硬盤上，關(guān)閉后再次打開瀏覽器码撰，這些cookie仍然有效直到超過設(shè)定的過期時間渗柿。存儲在硬盤上的cookie可以在不同的瀏覽器進程間共享，比如兩個IE窗口脖岛。而對于保存在內(nèi)存里的cookie朵栖，不同的瀏覽器有不同的處理方式。
而session機制采用的是一種在服務(wù)器端保持狀態(tài)的解決方案柴梆。同時我們也看到陨溅，由于采用服務(wù)器端保持狀態(tài)的方案在客戶端也需要保存一個標識，所以session機制可能需要借助于cookie機制來達到保存標識的目的绍在。而session提供了方便管理全局變量的方式 门扇。
session是針對每一個用戶的，變量的值保存在服務(wù)器上偿渡，用一個sessionID來區(qū)分是哪個用戶session變量,這個值是通過用戶的瀏覽器在訪問的時候返回給服務(wù)器臼寄，當(dāng)客戶禁用cookie時，這個值也可能設(shè)置為由get來返回給服務(wù)器溜宽。
就安全性來說：當(dāng)你訪問一個使用session 的站點脯厨，同時在自己機子上建立一個cookie，建議在服務(wù)器端的session機制更安全些坑质，因為它不會任意讀取客戶存儲的信息合武。
session機制
session機制是一種服務(wù)器端的機制，服務(wù)器使用一種類似于散列表的結(jié)構(gòu)（也可能就是使用散列表）來保存信息涡扼。
當(dāng)程序需要為某個客戶端的請求創(chuàng)建一個session時稼跳，服務(wù)器首先檢查這個客戶端的請求里是否已包含了一個session標識（稱為session id），如果已包含則說明以前已經(jīng)為此客戶端創(chuàng)建過session吃沪，服務(wù)器就按照session id把這個session檢索出來使用（檢索不到汤善，會新建一個），如果客戶端請求不包含session id票彪，則為此客戶端創(chuàng)建一個session并且生成一個與此session相關(guān)聯(lián)的session id红淡，session id的值應(yīng)該是一個既不會重復(fù)，又不容易被找到規(guī)律以仿造的字符串降铸，這個session id將被在本次響應(yīng)中返回給客戶端保存在旱。
保存這個session id的方式可以采用cookie，這樣在交互過程中瀏覽器可以自動的按照規(guī)則把這個標識發(fā)揮給服務(wù)器推掸。一般這個cookie的名字都是類似于SEEESIONID桶蝎。但cookie可以被人為的禁止，則必須有其他機制以便在cookie被禁止時仍然能夠把session id傳遞回服務(wù)器谅畅。
經(jīng)常被使用的一種技術(shù)叫做URL重寫登渣，就是把session id直接附加在URL路徑的后面。還有一種技術(shù)叫做表單隱藏字段毡泻。就是服務(wù)器會自動修改表單胜茧，添加一個隱藏字段，以便在表單提交時能夠把session id傳遞回服務(wù)器仇味。
Cookie與Session都能夠進行會話跟蹤呻顽，但是完成的原理不太一樣。普通狀況下二者均能夠滿足需求邪铲，但有時分不能夠運用Cookie芬位，有時分不能夠運用Session。下面經(jīng)過比擬闡明二者的特性以及適用的場所带到。
1 .存取方式的不同
Cookie中只能保管ASCII字符串昧碉，假如需求存取Unicode字符或者二進制數(shù)據(jù)，需求先進行編碼揽惹。Cookie中也不能直接存取Java對象被饿。若要存儲略微復(fù)雜的信息，運用Cookie是比擬艱難的搪搏。
而Session中能夠存取任何類型的數(shù)據(jù)狭握，包括而不限于String、Integer疯溺、List论颅、Map等哎垦。Session中也能夠直接保管Java Bean乃至任何Java類，對象等恃疯，運用起來十分便當(dāng)漏设。能夠把Session看做是一個Java容器類。
2 .隱私策略的不同
Cookie存儲在客戶端閱讀器中今妄，對客戶端是可見的郑口，客戶端的一些程序可能會窺探、復(fù)制以至修正Cookie中的內(nèi)容盾鳞。而Session存儲在服務(wù)器上犬性，對客戶端是透明的，不存在敏感信息泄露的風(fēng)險腾仅。
假如選用Cookie乒裆，比較好的方法是，敏感的信息如賬號密碼等盡量不要寫到Cookie中攒砖。最好是像Google缸兔、Baidu那樣將Cookie信息加密，提交到服務(wù)器后再進行解密吹艇，保證Cookie中的信息只要本人能讀得懂惰蜜。而假如選擇Session就省事多了，反正是放在服務(wù)器上受神，Session里任何隱私都能夠有效的保護抛猖。
3.有效期上的不同
使用過Google的人都曉得，假如登錄過Google鼻听，則Google的登錄信息長期有效财著。用戶不用每次訪問都重新登錄，Google會持久地記載該用戶的登錄信息撑碴。要到達這種效果撑教，運用Cookie會是比較好的選擇。只需要設(shè)置Cookie的過期時間屬性為一個很大很大的數(shù)字醉拓。
由于Session依賴于名為JSESSIONID的Cookie伟姐，而Cookie JSESSIONID的過期時間默許為–1，只需關(guān)閉了閱讀器該Session就會失效亿卤，因而Session不能完成信息永世有效的效果愤兵。運用URL地址重寫也不能完成。而且假如設(shè)置Session的超時時間過長排吴，服務(wù)器累計的Session就會越多秆乳，越容易招致內(nèi)存溢出。
4.服務(wù)器壓力的不同
Session是保管在服務(wù)器端的，每個用戶都會產(chǎn)生一個Session屹堰。假如并發(fā)訪問的用戶十分多肛冶，會產(chǎn)生十分多的Session，耗費大量的內(nèi)存双藕。因而像Google淑趾、Baidu、Sina這樣并發(fā)訪問量極高的網(wǎng)站忧陪，是不太可能運用Session來追蹤客戶會話的。
而Cookie保管在客戶端近范，不占用服務(wù)器資源嘶摊。假如并發(fā)閱讀的用戶十分多，Cookie是很好的選擇评矩。關(guān)于Google叶堆、Baidu、Sina來說斥杜，Cookie或許是唯一的選擇虱颗。
5 .瀏覽器支持的不同
Cookie是需要客戶端瀏覽器支持的。假如客戶端禁用了Cookie蔗喂，或者不支持Cookie忘渔，則會話跟蹤會失效。關(guān)于WAP上的應(yīng)用缰儿，常規(guī)的Cookie就派不上用場了畦粮。
假如客戶端瀏覽器不支持Cookie，需要運用Session以及URL地址重寫乖阵。需要注意的是一切的用到Session程序的URL都要進行URL地址重寫宣赔，否則Session會話跟蹤還會失效。關(guān)于WAP應(yīng)用來說瞪浸，Session+URL地址重寫或許是它唯一的選擇儒将。
假如客戶端支持Cookie，則Cookie既能夠設(shè)為本瀏覽器窗口以及子窗口內(nèi)有效（把過期時間設(shè)為–1）对蒲，也能夠設(shè)為一切閱讀器窗口內(nèi)有效（把過期時間設(shè)為某個大于0的整數(shù)）钩蚊。但Session只能在本閱讀器窗口以及其子窗口內(nèi)有效。假如兩個瀏覽器窗口互不相干齐蔽，它們將運用兩個不同的Session两疚。（IE8下不同窗口Session相干）
6.跨域支持上的不同
Cookie支持跨域名訪問，例如將domain屬性設(shè)置為“.biaodianfu.com”含滴，則以“.biaodianfu.com”為后綴的一切域名均能夠訪問該Cookie诱渤。跨域名Cookie如今被普遍用在網(wǎng)絡(luò)中谈况，例如Google勺美、Baidu递胧、Sina等。而Session則不會支持跨域名訪問赡茸。Session僅在他所在的域名內(nèi)有效缎脾。
僅運用Cookie或者僅運用Session可能完成不了理想的效果。這時應(yīng)該嘗試一下同時運用Cookie與Session占卧。Cookie與Session的搭配運用在實踐項目中會完成很多意想不到的效果遗菠。
