Cookie & Session

文章参考来源：方应杭

Cookie

HTTP是一种无状态的协议，cookie可以让HTTP有状态。
设置Cookie

Set-Cookie: <cookie-name>=<cookie-value>;

浏览器获得Cookie后，下一次发请求会带上

Cookie: <cookie-name>=<cookie-value>

概述：

• Cookie 是浏览器访问服务器后，服务器传给浏览器的一段数据。
• 浏览器需要保存这段数据，不得轻易删除。
• 此后每次浏览器访问该服务器，都必须带上这段数据。
• Cookie 默认在用户关闭页面后就失效，可以设置过期时间，例：cookie.setMaxAge(60) 过期时间一分钟。

Cookie的作用：

• 识别用户

  比如用户 A 用浏览器访问了 http://a.com，那么 http://a.com 的服务器就会立刻给 A 返回一段数据「uid=1」（这就是 Cookie）。当 A 再次访问 http://a.com 的其他页面时，就会附带上「uid=1」这段数据。
  同理，用户 B 用浏览器访问 http://a.com 时，返回给 B 一段数据「uid=2」。
  以此，http://a.com 的服务器就能区分 A 和 B 两个用户了。

• 记录历史
  假设 http://a.com 是一个购物网站，当 A 在上面将商品 A1 、A2 加入购物车时，JS 可以改写 Cookie，改为「uid=1; cart=A1,A2」，表示购物车里有 A1 和 A2 两样商品了。
  这样一来，当用户关闭网页，过三天再打开网页的时候，依然可以看到 A1、A2 躺在购物车里，因为浏览器并不会无缘无故地删除这个 Cookie。
  借此，就达到里记录用户操作历史的目的了。

Cookie的缺点：
Cookie可能会被伪造

Session

由于cookie容易被伪造，那么给cookie一个很复杂的值就好了，这个值是sessionID。

Set-Cookie: sessionID;

有了session，服务器将用户的信息保存在服务器中的session表里。
浏览器请求时带上cookie，服务器就通过cookie里的sessionID查找session表里对应的信息。
这样暴露给其他人的就只有sessionID，没有用于用户的相关信息，很安全。

Cookie和Session的区别

• 目的不同
  区分用户用cookie。用户私密信息用session
• 实现不同
  cookie的实现方式是死的。session的实现方式多种多样，不同的框架实现方式不同。
• 存储位置不同
  cookie存在浏览器中。session存在服务器里，形式可以是一个文件，也可以是数据库。

localStorage

session的实现基于cookie，但也可以放在其他地方，比如localStorage
相比于cookie，它的特点是不会附在请求里面。
localStorage理论上不会过期，除非清理缓存
持续化存东西的时候用localStorage

模拟cookie：
用 js 读 localStorage ，然后附在请求里。