关于使用加密cookie取代session

用户信息、权限列表可以放在cache里，不一定非是session.

可以参考一下acegi的RememberMeService的实现。

前提是集群，要拿客户端的cookie与服务器端的副本比较的话，那就得服务器间同步cookie副本，那与同步session有什么区别

这个问题在这个论坛上，也没少谈论了吧。
cookie是不可以完全代替session的，你这里的方案，cookie存放的只是一个为一的标识(如用户id)，在服务器端你还是要维护session的数据的，例如把session如果放到memcache中。除非需求对session的数据量要求非常少,几个或十几个时可以使用加密cookie来处理，但为了系统的扩展性，不知这种实现还可以吗。

session的实现就是cookie啊。
当然还有一些其它实现，不过一般都是cookie被禁止时才用的。

你看一下CAS，它就是用cookie实现多个应用集成的，它采用的是https来加密cookie的

可以考虑专门建一个session服务器，用Berkerly DB等实现存储，把容器的标准session换掉。

这个对密码的要求很高了,如果加密算法被破解的话,那系统衣服就脱光了

他的意思可能是用 Cookie 取代 Session，这样服务器端不需要保存应用状态，节省服务器资源，而加密密钥则在服务器端共享，所有的客户端都是用同一个密钥。不过加密解密本身也会消耗计算资源，所以这种方法，可能只是把一个空间问题变成了一个时间问题。