Cookie
定义
一种在客户端（浏览器）存储数据的机制，由服务器生成发送给客户端，客户端会将其保存，并在后续的请求中发送给服务器。cookie 一般用于存储持久化数据，例如语言、登录状态等。
特点
- 存储位置： 客户端
- 生命周期： 可设置为会话 cookie（浏览器关闭即失效）或持久 Cookie（根据设置的过期时间失效）
- 安全性： 易受到攻击，例如 XSS、CSRF 攻击等
- 使用方式： 每次请求时，浏览器会自动将 Cookie 附加到请求头中发送给服务器
- 无状态， 服务器不需要在后端存储相关数据。
Session
定义
一种服务器端的状态管理机制，用于跟踪和存储用户在 Web 应用程序中的状态信息。当用户访问网站时，服务器会创建一个 Session 对象，并分配唯一的 Session ID。
特点
- 存储位置： 服务器
- 生命周期： 可设置，一般较短
- 安全性： 由于数据存储在服务器端，安全性较高
- 使用方式： Session ID 通常会通过 Cookie、URL 重写或隐藏表单字段传递给客户端。
- 有状态， 服务器需要存储会话数据
Token
定义
一种代表用户身份和权限的数据结构。它可以是一串加密的字符串，通常包含有关用户的信息，比如用户名、角色和过期时间。常见的 Token 包括 JWT（JSON Web Token），它是基于 JSON 格式的自包含令牌，可以携带用户信息和访问权限。
特点：
- 存储位置： 通常存储在客户端（浏览器）中，如 LocalStorage 或 SessionStorage
- 生命周期： 由 Token 的生成策略和过期时间决定
- 安全性： 比 Cookie 更加灵活，可以通过加密和签名来确保安全性
- 使用方式： 通常在请求头（如 Authorization 头）中携带 Token 进行验证
- 无状态，服务器不需要在后端存储相关数据
联系
- Session 与 Cookie： Session ID 通常存储在 Cookie 中，通过 Cookie 将 Session ID 传递给服务器，以便服务器识别用户的 Session。
- Token 与 Cookie： Token 可以存储在 Cookie 中，但也可以存储在 LocalStorage 或 SessionStorage 中。与 Session 不同的是，Token 通常是自包含的，不依赖于服务器存储会话数据。
- Session 与 Token： 都用于管理用户会话，但实现方式不同。Session 依赖于服务器存储会话数据，而 Token 是自包含的，可以在无状态的分布式环境中使用。
总结
- Session：服务器端管理，依赖于 Session ID
- Cookie：客户端存储数据，常用于会话管理
- Token：自包含的认证信息，灵活性高，可以在客户端存储
- “Session”、”cookie”和”token”都在Web应用程序中发挥着重要作用，但它们的用途和特点各不相同。”Session”用于存储服务器端状态数据，”cookie”用于在客户端存储小量数据，”token”用于在客户端和服务器之间传递用户身份和权限信息。根据应用程序的需求和安全性要求，可以灵活地选择如何使用这些机制来构建强大的用户认证和授权系统。