浅谈cookie session token

cookie / session /token

Cookie的特点和作用

Cookie由服务器生成，发送给浏览器，浏览器把cookie保存，下一次请求同一网站时会把该cookie发送给服务器。

1. cookie存储数据在客户端浏览器
2. 浏览器对于单个cookie 的大小有限制(4kb) 以及 对同一个域名下的总cookie数量也有限制(20个)
3. cookie是有时效性的

• 作用：
  • cookie一般用于存出少量的不太敏感的数据
  • 在不登录的情况下，完成服务器对客户端的身份识别

session介绍

1.session的简单介绍

session是一种保存上下文信息的机制，保存的是对象，它的值是存放在服务器端，它通过sessionId来区分不同的客户端，而sessionId是保存在客户端的，做为客户端与服务器的验证标识，它是一个24位的随机字符串，用户每次提交页面时，浏览器都会把这个sessionId包含在HTTP头中提交给WEB服务器。

2.session的产生过程

当服务器接收到客户端的请求，要求产生一个session时，服务器会先检查下，客户端的cookies中是否有sessionId，并且判断它是否过期。若有sessionId且还没有过期，则会根据该sessionId值将服务器中的session检索出来；否则，将产生一个新的session，当创建一个新session后，服务器也会产生一个sessionId号，回写客户端的cookies当中。

cookie与session的机制区别

Cookie机制是通过检查客户身上的“通行证”来确定客户身份的话，那么Session机制就是通过检查服务器上的“客户明细表”来确认客户身份。Session相当于程序在服务器上建立的一份客户档案，客户来访的时候只需要查询客户档案表就可以了

简单理解token机制

什么是token

token的意思是“令牌”，是服务端生成的一串字符串，作为客户端进行请求的一个标识。

当用户第一次登录后，服务器生成一个token并将此token返回给客户端，以后客户端只需带上这个token前来请求数据即可，无需再次带上用户名和密码。

简单token的组成；uid(用户唯一的身份标识)、time(当前时间的时间戳)、sign（签名，token的前几位以哈希算法压缩成的一定长度的十六进制字符串。为防止token泄露）。

身份认证概述

由于HTTP是一种没有状态的协议，它并不知道是谁访问了我们的应用。这里把用户看成是客户端，客户端使用

用户名还有密码通过了身份验证，不过下次这个客户端再发送请求时候，还得再验证一下。

• 通用的解决方法就是，当用户请求登录的时候，如果没有问题，在服务端生成一条记录，在这个记录里可以说明登录的用户是谁，然后把这条记录的id发送给客户端，客户端收到以后把这个id存储在cookie里，下次该用户再次向服务端发送请求的时候，可以带上这个cookie，这样服务端会验证一下cookie里的信息，看能不能在服务端这里找到对应的记录，如果可以，说明用户已经通过了身份验证，就把用户请求的数据返回给客户端。

  以上所描述的过程就是利用session，那个id值就是sessionid。我们需要在服务端存储为用户生成的session，这些session会存储在内存，磁盘，或者数据库。

• 基于token机制的身份认证

使用token机制的身份验证方法，在服务器端不需要存储用户的登录记录。大概的流程：

客户端使用用户名和密码请求登录。服务端收到请求，验证用户名和密码。验证成功后，服务端会生成一个token，然后把这个token发送给客户端。客户端收到token后把它存储起来，可以放在cookie或者Local Storage（本地存储）里。客户端每次向服务端发送请求的时候都需要带上服务端发给的token。服务端收到请求，然后去验证客户端请求里面带着token，如果验证成功，就向客户端返回请求的数据。