当浏览器遇上服务器：解密Cookie/Session/Token三件套（必看干货）-优快云博客

一、从银行办业务说起（场景带入）

老铁们想象一下这样的场景：你去银行柜台办业务（经典比喻又来了）

第一次办理：柜员让你填表（创建session）
二次办理：柜员拿出你的档案袋（读取session）
问题来了：如果每天有100万人办业务，银行要准备多少档案柜？（服务器存储压力）

这时候三种解决方案应运而生：

Cookie方案：把客户资料存在你的钱包里（客户端存储）
Session方案：银行租个大仓库存档案（服务端存储）
Token方案：给你个加密钢印戒指（无状态验证）

二、Cookie：带着小纸条的浏览器

运行原理（超直白版）

// 服务器说：存着这个！
response.setHeader('Set-Cookie', 'userID=9527')

// 浏览器说：给你之前的纸条
request.headers.get('Cookie') // userID=9527

使用场景举例

记住用户语言偏好
保持购物车信息
广告追踪（这个要慎用！！）

致命缺陷（划重点）

容量限制：4KB上限（存不了大文件）
安全隐患：XSS跨站脚本攻击（偷cookie太容易了）
禁用风险：用户可能关闭cookie功能

三、Session：服务器的大账本

工作流程（带你看源码）

# 生成sessionID（重点！）
session_id = generate_random_string(32)

# 服务器存数据
session_store[session_id] = {
    'user_id': 9527,
    'last_login': '2023-08-20'
}

# 通过cookie传递sessionID
response.set_cookie('sessionID', session_id)

性能优化技巧

Redis集群存储（别用文件系统！）
合理设置过期时间（别让session堆积成山）
分布式一致性处理（集群环境下的坑）

四、Token：新时代的通行证

JWT结构拆解（图示法）

header.payload.signature
┌─────────┬─────────────┬──────────┐
│ 加密算法 │ 用户数据     │ 数字签名  │
└─────────┴─────────────┴──────────┘

代码实战（Node.js版）

// 生成token
const token = jwt.sign(
  { user: 'jack' }, 
  'secret_key',
  { expiresIn: '2h' }
);

// 验证token
jwt.verify(token, 'secret_key', (err, decoded) => {
  console.log(decoded.user) // jack
});

五、三剑客对比表格（收藏级干货）

维度	Cookie	Session	Token
存储位置	浏览器	服务器	客户端
安全性	低（易被窃取）	中（依赖sessionID）	高（签名验证）
扩展性	差（同源限制）	一般（需共享存储）	好（天然支持分布式）
适用场景	简单状态保持	传统Web应用	前后端分离/API调用
性能影响	无	服务器内存/存储压力	解密计算开销