Session、Token验证的区别以及CSRF攻击

Session是什么

session意为“会话”。我们都知道HTTP是无状态的协议，但有时我们需要保存状态来进行后面的操作，比如某个电商网站的购物车功能（在不登录的情况下，也就是不使用数据库），如果不使用session，那么每次添加物品到购物篮后都不会保存，结果就是刷新一下购物篮就会变成空的。所以我们需要这个session来保存一定的状态。当用户打开某个网页的时候，就发生了一次会话，也就是产生了一个session，服务器会将session保存在服务器上，session中可能包括了用户信息，在用户离开网页之后，session就会被销毁。
本文这个不是重点，只是简单说下

session和token作为用户登陆手段的区别

session的作用机理

session在每一次会话开始的时候产生，其中存放会话的信息，每一个session都有一个session_id。在账号密码登陆成功后，会在session保存相应的登陆状态，然后服务器会将这个session_id存放在cookie中发送给客户端，这样浏览器下次访问的时候，会带着cookie中的session_id进行访问，服务器再根据这个session_id来找到对应的session，再去session中查找相关信息判断用户是否能正常登陆。

token的作用机理

1. 客户端传送用户名和密码到服务器请求登陆，服务器在验证通过后签发一个有时效性的token，将token返回给客户端。
2. 客户端收到token之后将这个token存储起来，可以放在Cookie或者LocalStorage里。
3. 以后客户端每次访问服务器都会带着这个token，服务器收到请求，会验证这个token，如果验证成功，就会向客户端放回请求的资源。

看起来session的验证和token的验证很相似，都是从服务器返回一个数据，然后之后每次请求的时候都