【面试题】cookie和session 的区别

原创于 2025-08-09 23:03:32 发布 · 173 阅读

3 ·

CC 4.0 BY-SA版权

文章标签：

#web

Java面试同时被 2 个专栏收录

61 篇文章

订阅专栏

架构

18 篇文章

订阅专栏

文章目录

在Web开发中， Cookie和 Session是两种常用的状态管理机制，用于在无状态的HTTP协议中保存用户信息（如登录状态、偏好设置等）。二者的核心区别体现在存储位置、安全性、生命周期等多个方面，以下是详细对比：

一、核心定义与存储位置

Cookie：
是服务器发送给客户端（浏览器）的小型文本文件，由客户端（浏览器）保存。每次客户端向服务器发送请求时，会自动携带对应的Cookie（除非设置了不发送）。

Session：
是服务器为每个用户（会话）创建的内存对象（或存储在数据库、Redis等介质中），数据保存在服务器端。服务器通过一个唯一标识（通常是Session ID）与客户端关联，而Session ID通常通过Cookie传递（也可通过URL重写等方式）。

二、关键区别对比

对比维度	Cookie	Session
存储位置	客户端（浏览器本地文件或内存）	服务器端（内存、数据库、Redis等）
数据大小限制	有限制（通常4KB以内，不同浏览器略有差异）	理论上无限制（取决于服务器存储能力）
安全性	较低（数据在客户端，易被篡改或窃取）	较高（数据在服务器，客户端仅获取Session ID）
生命周期	可设置过期时间（持久Cookie），过期后删除；若不设置，则关闭浏览器后失效（会话Cookie）	通常依赖Session ID的Cookie生命周期，或服务器主动销毁（如超时、调用`invalidate()`方法）
网络传输	每次请求都会携带（除非设置`HttpOnly`等属性限制）	仅传输Session ID（通常通过Cookie），数据不传输
存储数据类型	仅支持字符串（需手动序列化复杂类型）	支持任意Java对象（如Session）或其他类型
隐私性	较差（可能被第三方脚本读取，除非设置`HttpOnly`）	较好（客户端无法直接访问数据）

三、典型使用场景

Cookie的适用场景：

存储非敏感信息，如用户偏好设置（主题、语言）、购物车临时数据（未登录状态）。
实现“记住我”功能（持久化Cookie，避免频繁登录）。
跟踪用户行为（如广告投放分析）。

Session的适用场景：

存储敏感信息，如用户登录状态、权限信息、验证码等。
维护会话临时数据，如表单提交的中间状态、购物车已登录用户的数据。

四、关联与依赖

Session通常依赖Cookie传递Session ID：服务器创建Session后，会生成一个唯一的Session ID，并通过Set-Cookie响应头发送给客户端，客户端后续请求会携带该Cookie，服务器通过Session ID找到对应的Session对象。
若客户端禁用Cookie，Session可通过URL重写（在URL后拼接;jsessionid=xxx）或表单隐藏域传递Session ID，但这种方式安全性低且不友好，很少使用。

总结

Cookie：轻量、存储在客户端、适合非敏感数据，受大小限制，安全性较低。
Session：存储在服务器、适合敏感数据，无大小限制，安全性高，但会消耗服务器资源。

实际开发中，二者常结合使用：用Cookie传递Session ID，用Session存储核心业务数据，兼顾效率与安全。