session cookie和persistent cookie

大家都知道，http是无状态的协议，客户每次读取web页面时，服务器都打开新的会话，而且服务器也不会自动维护客户的上下文信息，那么要怎么才能实现不同请求时信息共享呢，session就是一种保存上下文信息的机制，它是针对每一个用户的，变量的值保存在服务器端，通过SessionID来区分不同的客户，session是以cookie或URL重写为基础的，默认使用cookie来实现，系统会创造一个名为SESSIONID的输出cookie，我们叫做session cookie，以区别persistent cookie，也就是我们通常所说的cookie，注意session cookie是存储于浏览器内存中的，并不是写到硬盘上的，这也就是我们刚才说的SESSIONID，我们通常情是看不到SESSIONID的，但是当我们把浏览器的cookie禁止后，web服务器会采用URL重写的方式传递sessionid(tomcat里通过response.encodeURL(url)实现)，我们就可以在地址栏看到sessionid=CE8D003A0BFCEA9737BC90EA1719C189之类的字符串。
明白了原理，我们就可以很容易的分辨出persistent cookie和session cookie的区别了，网上那些关于两者安全性的讨论也就一目了然了，session cookie针对某一次会话而言，会话结束session cookie也就随着消失了，而persistent cookie只是存在于客户端硬盘上的一段文本（通常是加密的），而且可能会遭到cookie欺骗以及针对cookie的跨站脚本攻击，自然不如session cookie安全了。