Cookie、Session 和 Token 的基本原理

---

参考资料：

• Cookie、Session、Token 究竟区别在哪？如何进行身份认证，保持用户登录状态？- B 站

1 为什么提出 Cookie？HTTP 无状态

HTTP 是无状态的。你这次访问完服务器后，再次访问服务器，服务器是不知道又是你来访问的。

百度百科：HTTP 无状态

• HTTP 无状态协议，是指协议对于事务处理没有记忆能力。缺少状态意味着如果后续处理需要前面的信息，则它必须重传，这样可能导致每次连接传送的数据量增大。另一方面，在服务器不需要先前信息时它的应答就较快。
• HTTP 的每次请求都是独立的，它的应答情况与前后请求是无直接关系的，它不会受到前面请求的应答情况的直接影响，也不会直接影响后面请求的应答情况。

保持登录状态

• 通常，用户名和密码都保存在数据库中。每次登录的时候，比对用户输入的用户名、密码和数据库中的用户名、密码，比对成功就返回相应的页面。而如果我们想要保持登录状态，其核心就是存储用户名、密码，也就是允许记住用户名、密码。
• 假设我们就让浏览器来记住用户名、密码，那么我们还需要解决 HTTP 无状态的问题，也就是让浏览器想办法在每一次 HTTP 请求中都加入用户名、密码。而 Cookie 就是一种能够实现每次 HTTP 请求都自动携带数据给服务器的技术。

2 Cookie

Cookie 的基本流程如下图所示：

• 浏览器发起 HTTP 请求，服务器会使用 Set-Cookie 字段设置 Cookie；
• Cookie 中有 Name 和 Value 两个属性，均由服务器来进行填充；
• 浏览器收到 Cookie 后，会将 Cookie 存储起来；
• 浏览器以后每次发送 HTTP 请求都会自动携带该 Cookie；

我们可以直接在浏览器中查看存储了哪些 Cookie，由此可见把用户名、密码存储在 Cookie 当中是很不安全的。只要电脑被黑，Cookie 中的重要信息就会被泄露。因此，大家提出了一种新的技术 —— Session 会话。

个人感觉上图只是为了说明 Cookie 的作用，并没有代入存储用户名、密码的场景。

3 Session

Session 的基本流程如下图所示：

可以看出 Cookie 其实是一种数据的载体，它和 Session 并不是一种同级的关系。Cookie 里