第1个回答 2024-08-14
Cookie、Session、Token 这三者是不同发展阶段的产物。在网站交互体验升级的过程中，无状态的 HTTP 协议造成了每次请求都是独立的，无法记录用户状态的问题。为了解决这一问题，客户端和服务器端分别通过将必要的信息封装发送和记录信息来提升交互体验。
Cookie 方案通过存储在客户端的少量数据解决了状态记录的问题，它在浏览器中存储，分为内存 Cookie 和硬盘 Cookie。内存 Cookie 存在时间短暂，硬盘 Cookie 则可以持久存在，但可能面临被劫持的安全风险。Cookie 主要用于保持登录状态等，但它有容量和数量的限制，且可能导致跨站请求伪造（CSRF）攻击。
Session 方案则将用户状态存储在服务端，通过为每个用户分配一个唯一标识 ID（Session-ID）来实现状态跟踪，减少了客户端的存储压力。Session 机制完全由服务端控制，但这也带来了存储空间和分布式环境下 Session 信息共享的挑战。
Token 方案通过服务端生成并发放给客户端的验证身份的令牌，解决了 Session 和 Cookie 方案的存储和安全问题。Token 避免了大量信息在服务端存储的需求，同时提供了更好的跨域访问支持。JSON Web Token（JWT）是 Token 方案的实现之一，由三部分组成：header、payload 和签名，通过服务端验证签名来确认客户端的身份合法性。
Cookie、Session、Token 的选择依赖于具体场景需求，它们各自有优势和适用范围。了解不同方案的优缺点和适用场景，才能在实际应用中做出最合适的选择。虽然它们之间存在差异，但在实际项目中往往需要结合使用，以满足多样化的功能需求。