参考答案

HTTP协议

要弄明白cookie和session，就得先了解一下HTTP协议。

HTTP是一种无状态的协议，请求响应后，断开了TCP连接，下一次连接与上一次无关。无状态就意味着每个请求之间的不会直接地相互影响，对于每个请求，同样的请求参数就会得到同样的结果。

为了识别不同的请求是否来自同一客户，引用HTTP会话机制，而维持这个会话则主要靠session和cookie。简单来说，cookie机制采用的是在客户端保持状态的方案，而session机制采用的是在服务器端保持状态的方案。

cookie

由于HTTP是一种无状态的协议，服务器单从网络连接上无从知道客户身份。怎么办呢？就给客户端们颁发一个通行证吧，每人一个，无论谁访问都必须携带自己通行证。这样服务器就能从通行证上确认客户身份了，而这个通行证就是cookie了。

Cookie实际上是一小段的文本信息，存储在客户端，Web服务器通过传送 HTTP 包头中的 Set-Cookie 把一个cookie发送到用户的浏览器中,内容主要包括：名字，值，过期时间，路径和域，路径与域一起构成cookie的作用范围。

如果不设置过期时间，则表示这个cookie的生命期为浏览器会话期间，只要关闭浏览器窗口，cookie就消失了。这种生命期为浏览器会话期的 cookie被称为会话cookie。会话cookie一般不存储在硬盘上而是保存在内存里，当然这种行为并不是规范规定的。

如果设置了过期时间，浏览器就会把cookie保存到硬盘上，关闭后再次打开浏览器，这些cookie仍然有效直到超过设定的过期时间。

session

session机制是一种服务器端的机制，服务器使用一种类似于散列表的结构来保存信息，一般存储在文件、数据库或内存中。

当客户端第一次请求服务端的时候，服务端会检查客户端的请求头携带的cookie中，是否包含sessionid，如果有的话则会检索这个sessionid对应的session是否存在。

如果不存在则会创建相应的会话信息，生成对应的session，并将sessionid返回给客户端，客户端接收到这个sessionid，把它存储起来，下一次发送请求的时候，附带着这个session一起发送给服务端，服务端只要根据这个sessionid，就知道是谁了,而这个sessionid就是这次会话生命周期的凭证，服务端可以给这个sessionid设置过期时间，一但客户端丢失这个sessionid或者是服务端认为这个sessionid失效了，那么这次会话就结束了。

登录态的维持过程：

（1）首先用户在客户端浏览器发起登陆请求

（2）登陆成功后，服务端会把用户信息保存在服务端，并返回一个唯一的 session 标识给客户端浏览器。

（3）客户端浏览器会把这个唯一的 session 标识保存在起来（存在cookie中）

（4）以后再次访问 web 应用时，客户端浏览器会把这个唯一的 session 标识带上，这样服务端就能根据这个唯一标识找到用户信息。