深入解析 Session、Cookie 与 Token —— 理论、实践与案例

本文链接：https://blog.youkuaiyun.com/2301_80320652/article/details/145961421

在 Web 开发中，我们需要在无状态的 HTTP 协议上构建有状态的应用。为此，通常会采用以下三种机制来管理用户会话和认证信息：

Cookie
Session
Token

本文将从原理、优缺点、使用场景等方面详细介绍它们，同时通过实际示例帮助你更好地理解和应用这些技术。

1. 为什么需要会话管理？

HTTP 协议是无状态的，即每个请求都是独立的。比如用户在电商网站上浏览商品、加入购物车、下单，如果每个请求都是独立的，服务器无法知道哪个请求属于同一个用户。因此，我们需要一种机制来保存和传递用户状态信息，从而实现用户认证、购物车管理等功能。

2. Cookie

2.1 原理与工作流程

Cookie 是由服务器通过 HTTP 响应头 Set-Cookie 发送给客户端的一小段数据，浏览器保存后，在后续请求时通过 HTTP 请求头 Cookie 自动携带给服务器。

存储位置：客户端（浏览器或移动端存储）
典型数据：用户标识、会话 ID、个性化设置等
数据大小限制：一般每个 Cookie 大约 4KB
生命周期：可以是会话级（浏览器关闭失效）或持久性（设置了有效期）

2.2 示例代码（Node.js Express 应用）

设置 Cookie

// 使用 Express 框架，设置一个简单的 Cookie
const express = require('express');
const app = express();

app.get('/login', (req, res) => {
  // 登录成功后，在响应中设置 Cookie
  res.cookie('sessionId', 'abc123', {
    maxAge: 24 * 60 * 60 * 1000,  // 1 天有效
    httpOnly: true,              // 防止客户端 JavaScript 访问
    secure: true                 // 仅在 HTTPS 下传输
  });
  res.send('登录成功，Cookie 已设置');
});

app.get('/profile', (req, res) => {
  // 在后续请求中，Cookie 会自动发送给服务器
  const sessionId = req.cookies.sessionId;
  res.send(`当前的 sessionId 是：${sessionId}`);
});

app.listen(3000, () => {
  console.log('Server running on port 3000');
});

2.3 优缺点与使用场景

优点：

自动随请求发送，无需额外编码
适合存储少量简单数据（例如会话 ID、用户偏好）

缺点：

数据量有限（约 4KB）
如果未设置安全标志，可能会被 XSS 攻击利用
需要防范 CSRF 攻击（例如使用 CSRF Token）

使用场景：

存储用户登录状态（保存 Session ID）
保存用户个性化设置（例如语言、主题）

3. Session

3.1 原理与工作流程

Session 是服务器端的会话管理方案。核心思路是：

为每个用户生成一个唯一的 Session ID
将用户状态数据存储在服务器端（内存、数据库或缓存中）
客户端只保存 Session ID（通常存储在 Cookie 中），每次请求时发送给服务器
服务器根据 Session ID 查找并恢复用户状态

3.2 示例代码（Java Servlet 应用）

创建和使用 Session

// 在 Java Web 应用中使用 Servlet 管理 Session
import javax.servlet.*;
import javax.servlet.http.*;
import java.io.IOException;

public class LoginServlet extends HttpServlet {
    protected void doPost(HttpServletRequest request, HttpServletResponse response) 
            throws ServletException, IOException {
        // 模拟登录验证
        String username = request.getParameter("username");
        // 登录成功后，创建 session 并设置属性
        HttpSession session = request.getSession();
        session.setAttribute("username", username);
        response.getWriter().write("登录成功，session 已创建");
    }
}

public class ProfileServlet extends HttpServlet {
    protected void doGet(HttpServletRequest request, HttpServletResponse response) 
            throws ServletException, IOException {
        HttpSession session = request.getSession(false);
        if (session != null) {
            String username = (String) session.getAttribute("username");
            response.getWriter().write("当前登录用户：" + username);
        } else {
            response.getWriter().write("没有登录");
        }
    }
}

3.3 优缺点与使用场景

优点：

敏感数据存储在服务器端，安全性较高
可以存储较多的用户状态信息

缺点：

服务器需要维护大量会话数据，资源开销较大
在分布式环境中需要实现 Session 共享（如 Redis、数据库共享）
如果 Session ID 被窃取，可能导致会话劫持

使用场景：

用户登录状态管理（存储用户信息、权限等）
需要在服务器端保存大量数据的场景（购物车、用户行为记录）

4. Token（以 JWT 为例）

4.1 原理与工作流程

Token（令牌）是一种无状态的认证方案，常见实现为 JWT（JSON Web Token）。基本原理如下：

用户登录成功后，服务器生成一个 Token，其中包含用户身份、权限、过期时间等信息，并对其签名
客户端保存这个 Token（通常存储在 LocalStorage 或 Cookie 中），每次请求时将其附加在 HTTP 头中（例如 Authorization: Bearer ...）
服务器在收到请求后验证 Token 的合法性（通过签名校验和过期时间判断），并根据其中的信息进行授权

4.2 示例代码（Node.js + jsonwebtoken）

生成 Token

const express = require('express');
const jwt = require('jsonwebtoken');
const app = express();

app.use(express.json());

const SECRET_KEY = 'my_secret_key';

// 登录接口
app.post('/login', (req, res) => {
  const { username, password } = req.body;
  // 假设验证成功
  const payload = { username };
  const token = jwt.sign(payload, SECRET_KEY, { expiresIn: '1h' });
  res.json({ token });
});

// 受保护的路由
app.get('/profile', (req, res) => {
  const authHeader = req.headers.authorization;
  if (!authHeader) return res.status(401).send('缺少 token');
  
  const token = authHeader.split(' ')[1];
  jwt.verify(token, SECRET_KEY, (err, decoded) => {
    if (err) return res.status(403).send('无效或过期的 token');
    res.json({ message: `欢迎 ${decoded.username}！` });
  });
});

app.listen(3000, () => console.log('Server running on port 3000'));

4.3 优缺点与使用场景

优点：

无状态：服务器不需要存储 Token 数据，便于水平扩展和分布式系统
跨平台支持：适用于 Web、移动端、API 网关等多种场景
自包含信息：Token 内包含了用户的权限、身份信息以及过期时间

缺点：

安全性依赖加密：Token 一旦泄露，攻击者可以伪造请求；必须设置合理的过期时间和使用 HTTPS
Token 撤销困难：由于无状态设计，Token 一般不能主动“注销”，需要采用黑名单或短期过期等方案

使用场景：

分布式系统和微服务：各个服务间通过 Token 进行身份认证，无需共享 Session 数据
API 身份认证：RESTful API、GraphQL 等无状态服务通常采用 Token 认证
单点登录（SSO）：多个系统间共享认证信息

5. 对比与总结

特性	Cookie	Session	Token (JWT)
存储位置	客户端（浏览器）	服务器（通常结合 Cookie 存储 SessionID）	客户端（LocalStorage、Cookie等）
状态管理	依赖浏览器自动携带，适合简单状态	服务器维护，适合大量复杂数据	无状态，自包含信息，服务器无需存储
安全性	容易受到 XSS/CSRF 攻击，需设置 HttpOnly	数据存储在服务器，安全性较高	安全性依赖签名和加密，一旦泄露风险较高
扩展性	适合单一域名	分布式系统需要 Session 共享机制	高，适合分布式和微服务架构
典型使用场景	用户个性化设置、简单身份标识	用户登录状态、购物车、用户信息管理	API 鉴权、单点登录、跨平台认证

6. 实际开发中的综合应用案例

案例 1：传统 Web 应用（基于 Session 和 Cookie）

用户通过浏览器登录后，服务器创建一个 Session，将用户数据存入内存或 Redis 中，同时在 Cookie 中设置 SessionID。
后续请求时，浏览器自动携带 SessionID，服务器通过 SessionID 找到用户数据，从而实现认证和权限控制。
此方案适合需要高安全性且数据较多的传统网站，如电商平台、论坛等。

案例 2：RESTful API 服务（基于 Token）

用户登录成功后，服务器生成一个 JWT，并将其返回给客户端（如单页应用 SPA 或移动应用）。
客户端将 JWT 保存在 LocalStorage 或 Cookie 中，每次请求时在 HTTP Header 中附带该 Token。
服务器解密和验证 Token 来确认用户身份，完全无需服务器保存状态数据。
此方案适合分布式系统、微服务架构和跨平台的 API 认证，如移动应用后端、微服务网关等。

7. 安全建议

传输加密：无论采用哪种方案，均应通过 HTTPS 加密数据传输，防止中间人攻击。
设置 HttpOnly 与 Secure：对于 Cookie，启用 HttpOnly 属性防止 JavaScript 访问，并启用 Secure 属性确保仅在 HTTPS 下传输。
Token 安全：对于 JWT，需要选择合适的签名算法（如 HS256 或 RS256）、设置合理的过期时间，并设计 Token 刷新机制；如必要，还可采用 Token 黑名单来实现注销功能。
防范 CSRF：对于 Cookie 认证方案，可以使用 CSRF Token 或双重验证来防范跨站请求伪造。