Cookie、Session 和 Token 是 Web 开发中用于管理用户状态和身份验证的三种常见机制，它们的核心区别如下：
1. Cookie（客户端存储）
- 定义：由服务器生成并发送到客户端（浏览器）的小型文本数据，存储在客户端。
- 特点：
- 自动传输：浏览器在每次请求时自动附加 Cookie（同域请求）。
- 存储位置：客户端（浏览器内存或硬盘）。
- 安全性：易受 CSRF（跨站请求伪造）攻击，需通过
HttpOnly、Secure标志增强安全。 - 容量限制：通常每个域名下最多 4KB。
- 用途：保存会话 ID（如 Session ID）、用户偏好设置等。
2. Session（服务端存储）
- 定义：服务器创建的临时用户状态记录，数据存储在服务端（如内存、数据库、Redis）。
- 特点：
- 依赖 Cookie：通过 Cookie 传递 Session ID（如
JSESSIONID）。 - 服务端存储：用户数据在服务端，客户端仅持有 ID。
- 扩展性挑战：多服务器时需共享 Session 存储（如 Redis 集群）。
- 安全性：Session ID 泄露会导致身份冒用，需结合安全 Cookie 防护。
- 依赖 Cookie：通过 Cookie 传递 Session ID（如
- 用途：传统 Web 应用的登录状态管理。
3. Token（客户端存储，无状态）
- 定义：自包含的凭证（如 JWT），包含用户信息、签名和元数据，由服务端签发。
- 特点：
- 无状态：服务端无需存储 Token，验证签名即可。
- 传输方式灵活：通过
Authorization头传递，不依赖 Cookie。 - 跨域友好：适用于跨域场景（如 API 调用、前后端分离）。
- 安全性：需防范 XSS 攻击窃取 Token，推荐结合 HTTPS。
- 用途：现代无状态架构（如 RESTful API、单页应用）。
主要区别对比
| 特性 | Cookie | Session | Token（如 JWT） |
|---|---|---|---|
| 存储位置 | 客户端 | 服务端（数据） + 客户端（ID） | 客户端 |
| 传输方式 | 自动通过 Cookie 头 | 依赖 Cookie 或 URL 重写 | 手动通过 Authorization 头 |
| 安全性风险 | CSRF、XSS | Session ID 泄露 | Token 泄露 |
| 扩展性 | 无影响 | 需分布式 Session 存储 | 天然支持分布式 |
| 跨域支持 | 受同源策略限制 | 依赖配置（如 CORS） | 灵活支持 |
| 数据容量 | 小（约 4KB） | 服务端存储无限制 | 中（需控制 Token 大小） |
应用场景
- Cookie + Session：传统 Web 应用，需维护用户状态（如电商购物车）。
- Token：无状态 API、移动端应用、跨域服务（如 OAuth 2.0 授权）。
- 混合使用：Session ID 通过 Cookie 传输，Token 用于第三方认证。
总结
- Cookie 是客户端存储和传输机制，Session 是服务端状态管理方案，Token 是自包含的无状态凭证。
- 选择时需权衡安全性、扩展性、跨域需求及架构复杂度。例如，高并发分布式系统更适合 Token，而传统 Web 应用可能沿用 Session。