session与cookie的区别

面试的时候被问到这个问题了，当时只能说出session是保存在服务器端的，而cookie是保存在客户端的。面试官说，就这么简单，可不可以详细点？当时我立马就傻逼了。

总结如下：

1.cookie数据存放在客户的浏览器上（ 客户端），session数据放在服务器上；

所以，得出：

结论一：cookie不是很安全，别人可以分析存放在本地的cookie并进行 cookie 欺骗,如果主要考虑到安全应当使用session；

结论二：session会在一定时间内保存在服务器上。当访问增多，会比较占用你服务器的性能，如果主要考虑到减轻服务器性能方面，应当使用cookie；

2.单个cookie在客户端的限制是3K，就是说一个站点在客户端存放的 cookie 不能3K；
所以，得出：

 结论三：将登陆信息等重要信息存放为session;其他信息如果需要保留，可以放在 cookie 中
   
3.session不能区分路径，同一个用户在访问一个网站期间，所有的session在任何一个地方都可以访问到。而cookie中如果设置了路径参数，那么同一个网站中不同路径下的cookie互相是访问不到的。   cookie只能是子路径访问父路径设置的cookie。

4.分析：

http是无状态的协议，客户每次读取web页面时，服务器都打开新的会话，而且服务器也不会自动维护客户的上下文信息，那么要怎么才能实现网上商店中的购物车呢：

session就是一种保存上下文信息的机制，它是针对每一个用户的，变量的值保存在服务器端，通过SessionID来区分不同的客 户,session是以cookie或URL重写 为基础的。

默认使用cookie来实现，系统会创造一个名为JSESSIONID的输出cookie，我 们叫做session cookie,以区分persistent cookie（我们通常所说的cookie）。

注意session cookie是存储于浏览器内存中的，并不是写到硬盘上的，这也就是我们刚才看到的JSESSIONID，我们通常情是看不到JSESSIONID的，但 是当我们把浏览器的cookie禁止后，web服务器会采用URL重写的方式传递Sessionid，我们就可以在地址栏看到 sessionid=KWJHUG6JJM65HS2K6之类的字符串。
明白了原理，我们就可以很容易的分辨出persistent cookie和session cookie的区别了，网上那些关于两者安全性的讨论也就一目了然了，session cookie针对某一次会话而言，会话结束session cookie也就随着消失了，而persistent cookie只是存在于客户端硬盘上的一段文本（通常是加密的），而且可能会遭到cookie欺骗以及针对cookie的跨站脚本攻击，自然不如 session cookie安全了。
5.通常session cookie是不能跨窗口使用的，当你新开了一个浏览器窗口进入相同页面时，系统会赋予你一个新的sessionid，这样我们信息共享的目的就达不到 了，此时我们可以先把sessionid保存在persistent cookie中，然后在新窗口中读出来，就可以得到上一个窗口SessionID了，这样通过session cookie和persistent cookie的结合我们就实现了跨窗口的session tracking（会话跟踪）。

6.简表

Cookie与Session的区别

Cookie	Session
存储在客户端	存储在服务器端
两种类型 ※有生命周期 ※无 生命 周期	两种实现方式 ※依赖于cookie ※url重写
父路径不能访问子路径的cookie	同一个session 的窗口共享一个 session
典型应用： ※3个月不用再登陆 ※购物车	典型应用： ※用户登陆 ※购物车也可以用session 实现。
不可靠	可靠