当前位置：首页 > article >正文

计算机网络——Session、Cookie 和 Token

article 2025/9/11 0:23:08

在 Web 开发中，Session、Cookie 和 Token 是实现用户会话管理和身份验证的核心技术。它们既有联系，也有明显区别。以下从定义、原理、联系、区别和应用场景等方面详细解析。

定义：
是浏览器存储在客户端的小型文本数据（键值对），由服务器生成并发送给浏览器，后续浏览器会自动携带 Cookie 访问同一域名下的资源。
原理：
- 服务器通过响应头 Set-Cookie 发送 Cookie 到浏览器。
- 浏览器每次请求同一域名时，会在请求头 Cookie 中携带该 Cookie。
- 可设置过期时间（Expires/Max-Age），默认随浏览器关闭失效。

示例：

Set-Cookie: sessionId=abc123; Expires=Mon, 22 May 2025 12:00:00 GMT; Path=/

定义：
是服务器端用于存储用户会话数据的临时存储机制，通过 sessionId 与客户端 Cookie 绑定。
原理：
- 用户首次访问时，服务器生成 sessionId 并存储会话数据（如用户信息），同时通过 Cookie 将 sessionId 发送给浏览器。
- 后续请求中，浏览器携带 sessionId，服务器根据该 ID 查找对应的会话数据。
存储介质：
内存、文件、数据库（如 Redis）等，需考虑服务器集群时的共享问题。

定义：
是客户端向服务器证明身份的凭证（通常为加密字符串），由服务器生成并返回给客户端，后续客户端需主动携带 Token 访问资源。
原理：
- 登录时，用户提交凭证（如用户名/密码），服务器验证通过后生成 Token（含用户信息、过期时间等），返回给客户端。
- 客户端存储 Token（如 localStorage、Cookie），每次请求时在请求头（如 Authorization: Bearer <token>）中携带。
- 服务器验证 Token 的有效性（如签名、过期时间），无需查询数据库。
常见类型：
- JWT（JSON Web Token）：自包含数据（头部、载荷、签名），无需服务器存储。
- OAuth Token：用于第三方授权（如微信登录）。

均用于会话管理与身份验证：
- Cookie 和 Session 配合使用（Cookie 存储 sessionId，Session 存储用户数据）。
- Token 可替代传统的 Session-Cookie 模式，实现无状态身份验证。
数据传递依赖 HTTP 请求：
均通过 HTTP 请求头或 Cookie 传递信息，用于识别用户身份。

维度	Cookie	Session	Token
存储位置	客户端（浏览器）	服务器端（内存/数据库等）	客户端（自定义存储，如 localStorage）
数据性质	小型文本数据（键值对）	任意类型数据（如对象、数组）	加密字符串（自包含数据或引用标识）
状态性	有状态（依赖服务器会话存储）	有状态（依赖服务器存储）	无状态（JWT 自包含数据，无需服务器查询）
安全性	较低（易被篡改，需配合 `HttpOnly`/`Secure`）	较高（敏感数据存服务器）	高（加密签名，防篡改）
跨域支持	受同源策略限制	受服务器环境限制（需共享会话存储）	灵活（可通过请求头携带，跨域友好）
典型应用	存储用户偏好、购物车标识	存储用户登录状态、权限信息	接口认证（如 RESTful API）、单点登录（SSO）
过期机制	客户端控制（通过 Expires/Max-Age）	服务器控制（可设置超时时间）	客户端与服务器共同控制（Token 自身包含过期时间）

流程：
登录 → 服务器生成 sessionId 和 Session 数据 → 通过 Cookie 返回 sessionId → 后续请求携带 Cookie → 服务器验证 sessionId 并获取用户数据。
优点：
- 服务器可控性强，适合存储敏感信息（如用户权限）。
- 无需在请求中携带大量数据。
缺点：
- 服务器需维护会话存储，集群环境下需共享存储（如 Redis）。
- 跨域场景下 Cookie 传递受限。

流程：
登录 → 服务器生成 JWT → 客户端存储 JWT → 每次请求携带 JWT（如请求头 Authorization）→ 服务器验证 JWT 有效性。
优点：
- 无状态，服务器无需存储会话，可横向扩展。
- 跨域友好，适合前后端分离、移动端、第三方服务调用。
缺点：
- JWT 自身包含数据，若数据量大（如用户权限列表），会增加请求体积。
- 过期后需重新登录（可通过刷新令牌（Refresh Token）优化）。

优先使用 Cookie + Session 的场景：
- 需要存储大量敏感数据（如用户购物车详情）。
- 传统单体应用，无需考虑跨域和分布式部署。
优先使用 Token（如 JWT）的场景：
- 前后端分离应用、API 接口认证。
- 分布式系统或微服务架构（避免会话共享问题）。
- 第三方授权（如 OAuth 2.0）。
混合使用场景：
- 用 Cookie 存储 Token（配合 HttpOnly 防止 XSS 攻击），同时利用 Token 的无状态特性。
- 使用 Session 存储临时数据（如验证码），Token 用于长期身份验证。

Cookie 安全：
- 设置 HttpOnly：禁止 JavaScript 读取 Cookie，防范 XSS 攻击。
- 设置 Secure：仅通过 HTTPS 传输 Cookie，防止中间人攻击。
- 避免存储敏感数据（如密码）。
Session 安全：
- 定期更新 sessionId（如用户重新登录时），防止会话固定攻击。
- 限制 Session 存储时间，避免会话长期有效。
Token 安全：
- 使用 HTTPS 传输 Token，防止明文泄露。
- 对 JWT 签名（非对称加密，如 RS256），防止伪造。
- 短时效 Token + 长时效刷新令牌（Refresh Token），降低 Token 泄露风险。