IT人必须弄懂的——cookie、session 和 token 区别

最新推荐文章于 2024-06-08 16:00:00 发布

蜀山客e

最新推荐文章于 2024-06-08 16:00:00 发布

阅读量489

点赞数 1

分类专栏：软件测试自动化测试 Python 文章标签： python session 软件测试自动化测试 cookie

本文链接：https://blog.youkuaiyun.com/Asaasa1/article/details/108664767

版权

软件测试同时被 3 个专栏收录

602 篇文章

订阅专栏

自动化测试

597 篇文章

订阅专栏

Python

100 篇文章

订阅专栏

1、什么是 cookie

cookie 是保存在本地终端的数据。cookie 由服务器生成，发送给浏览器，浏览器把 cookie 以 kv 形式保存到某个目录下的文本文件内，下一次请求同一网站时会把该 cookie 发送给服务器。由于 cookie 是存在客户端上的，所以浏览器加入了一些限制确保 cookie 不会被恶意使用，同时不会占据太多磁盘空间，所以每个域的 cookie 数量是有限的。

cookie 的组成有：名称( key )、值( value )、有效域( domain )、路径(域的路径，一般设置为全局："")、失效时间、安全标志(指定后，cookie 只有在使用 SSL 连接时才发送到服务器( https ))。下面是一个简单的 js 使用 cookie 的例子:

用户登录时产生 cookie:

document.cookie = "id="+result.data['id']+"; path=/";

document.cookie = "name="+result.data['name']+"; path=/";

document.cookie = "avatar="+result.data['avatar']+"; path=/";

使用到 cookie 时做如下解析：

var cookie = document.cookie;var cookieArr = cookie.split(";");var user_info = {};for(var i = 0; i < cookieArr.length; i++) {

    user_info[cookieArr[i].split("=")[0]] = cookieArr[i].split("=")[1];

}

$('#user_name').text(user_info[' name']);

$('#user_avatar').attr("src", user_info[' avatar']);

$('#user_id').val(user_info[' id']);

2、什么是 session

session 的中文翻译是"会话"，当用户打开某个 web 应用时，便与 web 服务器产生一次 session。服务器使用 session 把用户的信息临时保存在了服务器上，用户离开网站后 session 会被销毁。这种用户信息存储方式相对 cookie 来说更安全，可是 session 有一个缺陷：如果 web 服务器做了负载均衡，那么下一个操作请求到了另一台服务器的时候 session会丢失。

session 认证流程：

用户第一次请求服务器的时候，服务器根据用户提交的相关信息，创建对应的 Session
请求返回时将此 Session 的唯一标识信息 SessionID 返回给浏览器
浏览器接收到服务器返回的 SessionID 信息后，会将此信息存入到 Cookie 中，同时 Cookie 记录此 SessionID
属于哪个域名
当用户第二次访问服务器的时候，请求会自动判断此域名下是否存在 Cookie 信息，如果存在自动将 Cookie
信息也发送给服务端，服务端会从 Cookie 中获取 SessionID，再根据 SessionID 查找对应的 Session
信息，如果没有找到说明用户没有登录或者登录失效，如果找到 Session 证明用户已经登录可执行后面操作。
根据以上流程可知，SessionID 是连接 Cookie 和 Session 的一道桥梁，大部分系统也是根据此原理来验证用户登录状态。

在这里插入图片描述

3、什么是token

token 的意思是"令牌"，是用户身份的验证方式，最简单的 token 组成：uid(用户唯一的身份标识)、time(当前时间的时间戳)、sign(签名，由 token 的前几位+盐以哈希算法压缩成一定长的十六进制字符串，可以防止恶意第三方拼接token 请求服务器)。还可以把不变的参数也放进 token，避免多次查库

token 的身份验证流程：