全网最全的Cookie, Session, Token鉴权详解，一定让你大饱眼福

目录

前言

一、Cookie鉴权

二、Session鉴权

                     ​编辑

三、Token鉴权

四、总结

---

前言

在Web开发中，鉴权是保护用户数据和系统安全的重要手段之一。常见的鉴权方式包括Cookie、Session和Token三种，下面我将详细介绍这三种鉴权方式，并且探讨它们的优缺点。

视频教程：

B站终于有人讲清楚了什么是Cookie、Session、Token鉴权_哔哩哔哩_bilibilihttps://www.bilibili.com/video/BV1Fh41137t2/?spm_id_from=333.999.0.0                   

一、Cookie鉴权

1. Cookie原理

Cookie是通过服务器发送一个HTTP响应头来创建的，其中包含了一个名为Set-Cookie的响应头字段。当浏览器接收到这个响应后，会将Cookie保存起来，下次发送请求时会附带在HTTP头部中的Cookie字段中发送给服务器。

1. Cookie鉴权优缺点

优点：

• 实现简单：Cookie机制实现简单，只需要服务器端向客户端发送Set-Cookie即可完成鉴权，不需要过多的复杂设置。
• 信息存储方便：Cookie可以将用户信息等存储在客户端，使得可以跨页面访问，比较方便。

缺点：

• 安全性差：Cookie机制信息存储在本地，如果被恶意获取，有可能导致信息泄露或者非法使用。
• 可伪造性高：Cookie是根据服务器端的响应生成的，但是这些响应可以被篡改，从而导致Cookie被伪造，从而导致鉴权失效。

二、Session鉴权

1. Session原理

Session机制是在Cookie的基础上实现的，服务器会生成一个唯一的Session ID，并将这个ID存储在Cookie中发送给客户端。当客户端发送请求时，服务器会验证这个Session ID是否有效，如果有效，则允许访问资源。

1. Session鉴权优缺点

优点：

• 安全性较高：Session机制可以避免Cookie伪造带来的安全问题，对于非法用户访问也可以做出相应的控制。
• 可靠性高: 服务器端存储Session数据，保证了Session数据的可靠性，避免了Cookie被篡改带来的问题。

缺点：

• 维护负担大：由于Session存储在服务器端，需要服务器端定期清理过期的Session数据，从而增加了服务器的负担。
• 扩展性差：在分布式系统中，Session机制需要额外的处理来确保多台服务器之间的Session共享，从而降低了扩展性。

B站终于有人讲清楚了什么是Cookie、Session、Token鉴权_哔哩哔哩_bilibilihttps://www.bilibili.com/video/BV1Fh41137t2/?spm_id_from=333.999.0.0

                     

 

三、Token鉴权

1. Token原理

Token机制在认证成功后，服务端会签发一个令牌(Token)，以后每次请求都要带上这个Token，服务端通过校验这个Token来判断当前的请求是否合法。

1. Token鉴权优缺点

优点：

• 跨平台支持：Token机制不依赖于浏览器和Cookie，支持各种客户端平台，如iOS、Android等。
• 扩展性好：Token机制实现了无状态化，避免了Session的负担，更容易扩展。

缺点：

• 安全性需要考虑：Token机制需要考虑密钥的安全性，如果密钥泄露，则会导致令牌被伪造，从而导致鉴权失效。
• 兼容性差：虽然Token机制可以支持跨域访问，但是它需要额外的处理来确保在不同的请求之间传递Token，从而影响了API的易用性。

四、总结

以上介绍了三种常见的鉴权方式，它们各有优缺点。Cookie鉴权简单易用，但安全性和可伪造性较差；Session鉴权相对安全可靠，但对服务器的负担较大；Token鉴权可以跨平台支持，扩展性好，但需要考虑密钥的安全性。

在实际应用中，我们可以根据具体的业务需求来选择合适的鉴权方式。例如，对于一些简单的Web应用，Cookie鉴权已经足够满足需求；对于一些需要保证安全性的应用，可以使用Session鉴权；对于移动客户端等多平台支持的应用，可以考虑使用Token鉴权。

此外，在实现鉴权时还需要注意以下几点：

• 鉴权信息不要明文传输，需要进行加密传输。
• 在保存用户登录状态时，需要设置过期时间，并定期清理过期的鉴权信息。
• 避免将敏感信息（如密码）存储在Cookie或Session中，可以使用哈希或者加盐算法来加强安全性。

总之，无论选择哪种鉴权方式，都需要综合考虑其优缺点，以及具体业务需求和安全性要求，从而选择最适合的方案。同时，在实现过程中需要注意安全性问题，避免信息泄露和非法访问，保障用户数据和系统安全。

B站终于有人讲清楚了什么是Cookie、Session、Token鉴权_哔哩哔哩_bilibilihttps://www.bilibili.com/video/BV1Fh41137t2/?spm_id_from=333.999.0.0