Cookie、Sesssion详解（Cookie和Session实现免登陆）

你的名字 2023-08-17 16:45 185阅读 0赞

**Cookie的机制**

Cookie是浏览器（User Agent）访问一些网站后，这些网站存放在客户端的一组数据，用于使网站等跟踪用户，实现用户自定义功能。

Cookie的Domain和Path属性标识了这个Cookie是哪一个网站发送给浏览器的；Cookie的Expires属性标识了Cookie的有 效时间，当Cookie的有效时间过了之后，这些数据就被自动删除了。

如果不设置过期时间，则表示这个Cookie生命周期为浏览器会话期间，只要关闭浏览器窗口，Cookie就消失了。这种生命期为浏览会话期的 Cookie被称为会话Cookie。会话Cookie一般不保存在硬盘上而是保存在内存里。如果设置了过期时间，浏览器就会把Cookie保存到硬盘 上，关闭后再次打开浏览器，这些Cookie依然有效直到超过设定的过期时间。存储在硬盘上的Cookie可以在不同的浏览器进程间共享，比如两个IE窗 口。而对于保存在内存的Cookie，不同的浏览器有不同的处理方式。

**Session的机制**

Session是存放在服务器端的类似于HashTable结构（每一种Web开发技术的实现可能不一样，下文直接称之为HashTable）来存放用户 数据，当浏览器第一次发送请求时，服务器自动生成了一个HashTable和一个Session ID用来唯一标识这个HashTable，并将其通过响应发送到浏览器。当浏览器第二次发送请求，会将前一次服务器响应中的Session ID放在请求中一并发送到服务器上，服务器从请求中提取出Session ID，并和保存的所有Session ID进行对比，找到这个用户对应的HashTable。

一般情况下，服务器会在一定时间内（默认20分钟）保存这个HashTable，过了时间限制，就会销毁这个HashTable。在销毁之前，程序员可以 将用户的一些数据以Key和Value的形式暂时存放在这个HashTable中。当然，也有使用数据库将这个HashTable序列化后保存起来的，这 样的好处是没了时间的限制，坏处是随着时间的增加，这个数据库会急速膨胀，特别是访问量增加的时候。一般还是采取前一种方式，以减轻服务器压力。

cookie和session的区别：

<table> 
 <tbody> 
 <tr> 
 <td> &nbsp; </td> 
 <td> cookie </td> 
 <td> session </td> 
 </tr> 
 <tr> 
 <td> 存储位置 </td> 
 <td> 浏览器 </td> 
 <td> 服务器 </td> 
 </tr> 
 <tr> 
 <td> 浏览器携带的数据量 </td> 
 <td> 多 </td> 
 <td> 少（只携带session-id） </td> 
 </tr> 
 <tr> 
 <td> 存储的数据类型 </td> 
 <td> 只能是字符串 </td> 
 <td> 任意类型 </td> 
 </tr> 
 <tr> 
 <td> 安全性 </td> 
 <td> 较低 </td> 
 <td> 较高 </td> 
 </tr> 
 <tr> 
 <td> 默认的有效路径 </td> 
 <td> 当前目录及其子目录 </td> 
 <td> 整站有效 </td> 
 </tr> 
 <tr> 
 <td> 数据的传输量 </td> 
 <td> 有限制4K，不能超过20个 </td> 
 <td> 无限制 </td> 
 </tr> 
 </tbody> 
</table>

一些网站的3天免登陆是如何做到的？

方式一：首先想到的是使用cookie保存用户登录信息，设置有效期，在用户下次访问时免去登录环节，直接通过cookie获取用户信息。  
    方式二：直接将session会话保存，用户下次访问时，继续使用这个session。  
相比之下session显得更加安全，但是，大家知道，session会随着浏览器的关闭而消失（确切的说，是在客户端消失，服务器端的session存活周期取决于相应配置），当用户下次启动浏览器，访问网站时，又会得到由网站自动分配的新的session。那么，问题来了：

如何做到关闭浏览器后到下次登录时session仍然有效？

思路：  
1、在用户登录成功时，创建session对象，保存用户信息  
2、将此session的sessionid保存到cookie中

![20190128161710310.png][]  
3、同时将sessionid于session对应关系存储到应用域中，以便后面可以根据sessionid来获取到session  
4、在用户关闭浏览器，重新打开浏览器访问网站时，读取用户的cookie，得到sessionid

![20190128161744289.png][]  
5、根据sessionid获取到第3步存储到应用域中的session对象  
6、从session中读取用户信息

[20190128161710310.png]: /images/20230809/ca668b37853b4a14a993ff5b751c52ef.png
[20190128161744289.png]: /images/20230809/a759c88eb1a64ae7998c1648f2fe8497.png