我在做面試官的時候，曾經問過很多朋友這個問題： Cookie 和 Session 有什麼區別呢？大部分的面試者應該都可以說上一兩句，比如：什麼是 Cookie？什麼是 Session？兩者的區別等。
但如果再往深入探討的話，就慢慢有一些朋友不太瞭解了，談起原理時就很少有朋友全部回答準確。今天和大家一起深入聊聊有關 Cookie 和 Session 的話題 。
第一層樓
什麼是 Cookie 和 Session ?初級程式設計師高頻面試題。
什麼是 Cookie
HTTP Cookie（也叫 Web Cookie或瀏覽器 Cookie）是伺服器傳送到使用者瀏覽器並儲存在本地的一小塊資料，它會在瀏覽器下次向同一伺服器再發起請求時被攜帶併傳送到伺服器上。通常，它用於告知服務端兩個請求是否來自同一瀏覽器，如保持使用者的登入狀態。Cookie 使基於無狀態的 HTTP 協議記錄穩定的狀態資訊成為了可能。
Cookie 主要用於以下三個方面：
-
會話狀態管理（如使用者登入狀態、購物車、遊戲分數或其它需要記錄的資訊）
-
個性化設定（如使用者自定義設定、主題等）
-
瀏覽器行為跟蹤（如跟蹤分析使用者行為等）
什麼是 Session
Session 代表著伺服器和客戶端一次會話的過程。Session 物件儲存特定使用者會話所需的屬性及配置資訊。這樣，當使用者在應用程式的 Web 頁之間跳轉時，儲存在 Session 物件中的變數將不會丟失，而是在整個使用者會話中一直存在下去。當客戶端關閉會話，或者 Session 超時失效時會話結束。
第二層樓
Cookie 和 Session 有什麼不同？
-
作用範圍不同，Cookie 儲存在客戶端（瀏覽器），Session 儲存在伺服器端。
-
存取方式的不同，Cookie 只能儲存 ASCII，Session 可以存任意資料型別，一般情況下我們可以在 Session 中保持一些常用變數資訊，比如說 UserId 等。
-
有效期不同，Cookie 可設定為長時間保持，比如我們經常使用的預設登入功能，Session 一般失效時間較短，客戶端關閉或者 Session 超時都會失效。
-
隱私策略不同，Cookie 儲存在客戶端，比較容易遭到不法獲取，早期有人將使用者的登入名和密碼儲存在 Cookie 中導致資訊被竊取；Session 儲存在服務端，安全性相對 Cookie 要好一些。
-
儲存大小不同， 單個 Cookie 儲存的資料不能超過 4K，Session 可儲存資料遠高於 Cookie。
前兩層樓內容，絕大部分同學都可以準確回答
第三層樓
為什麼需要 Cookie 和 Session，他們有什麼關聯？
說起來為什麼需要 Cookie ，這就需要從瀏覽器開始說起，我們都知道瀏覽器是沒有狀態的(HTTP 協議無狀態)，這意味著瀏覽器並不知道是張三還是李四在和服務端打交道。這個時候就需要有一個機制來告訴服務端，本次操作使用者是否登入，是哪個使用者在執行的操作，那這套機制的實現就需要 Cookie 和 Session 的配合。
那麼 Cookie 和 Session 是如何配合的呢？我畫了一張圖大家可以先了解下。
使用者第一次請求伺服器的時候，伺服器根據使用者提交的相關資訊，建立建立對應的 Session ，請求返回時將此 Session 的唯一標識資訊 SessionID 返回給瀏覽器，瀏覽器接收到伺服器返回的 SessionID 資訊後，會將此資訊存入到 Cookie 中，同時 Cookie 記錄此 SessionID 屬於哪個域名。
當使用者第二次訪問伺服器的時候，請求會自動判斷此域名下是否存在 Cookie 資訊，如果存在自動將 Cookie 資訊也傳送給服務端，服務端會從 Cookie 中獲取 SessionID，再根據 SessionID 查詢對應的 Session 資訊，如果沒有找到說明使用者沒有登入或者登入失效，如果找到 Session 證明使用者已經登入可執行後面操作。
根據以上流程可知，SessionID 是連線 Cookie 和 Session 的一道橋樑，大部分系統也是根據此原理來驗證使用者登入狀態。
三層樓的內容，大部分同學可以講清楚。
第四層樓
既然服務端是根據 Cookie 中的資訊判斷使用者是否登入，那麼如果瀏覽器中禁止了 Cookie，如何保障整個機制的正常運轉。
第一種方案，每次請求中都攜帶一個 SessionID 的引數，也可以 Post 的方式提交，也可以在請求的地址後面拼接 xxx?SessionID=123456...。
第二種方案，Token 機制。Token 機制多用於 App 客戶端和伺服器互動的模式，也可以用於 Web 端做使用者狀態管理。
Token 的意思是“令牌”，是服務端生成的一串字串，作為客戶端進行請求的一個標識。Token 機制和 Cookie 和 Session 的使用機制比較類似。
當使用者第一次登入後，伺服器根據提交的使用者資訊生成一個 Token，響應時將 Token 返回給客戶端，以後客戶端只需帶上這個 Token 前來請求資料即可，無需再次登入驗證。
四層樓的內容，一部分同學可以講清楚。
第五層樓
如何考慮分散式 Session 問題？
在網際網路公司為了可以支撐更大的流量，後端往往需要多臺伺服器共同來支撐前端使用者請求，那如果使用者在 A 伺服器登入了，第二次請求跑到服務 B 就會出現登入失效問題。
分散式 Session 一般會有以下幾種解決方案：
-
Nginx ip_hash 策略，服務端使用 Nginx 代理，每個請求按訪問 IP 的 hash 分配，這樣來自同一 IP 固定訪問一個後臺伺服器，避免了在伺服器 A 建立 Session，第二次分發到伺服器 B 的現象。
-
Session 複製，任何一個伺服器上的 Session 發生改變（增刪改），該節點會把這個 Session 的所有內容序列化，然後廣播給所有其它節點。
-
共享 Session，服務端無狀態話，將使用者的 Session 等資訊使用快取中介軟體來統一管理，保障分發到每一個伺服器的響應結果都一致。
建議採用第三種方案。
第六層樓
如何解決跨域請求？Jsonp 跨域的原理是什麼？
說起跨域請求，必須要了解瀏覽器的同源策略，同源策略/SOP（Same origin policy）是一種約定，由 Netscape 公司 1995年引入瀏覽器，它是瀏覽器最核心也最基本的安全功能，如果缺少了同源策略，瀏覽器很容易受到 XSS、CSFR 等攻擊。所謂同源是指"協議+域名+埠"三者相同，即便兩個不同的域名指向同一個 ip 地址，也非同源。
解決跨域請求的常用方法是：
-
通過代理來避免，比如使用 Nginx 在後端轉發請求，避免了前端出現跨域的問題。
-
通過 Jsonp 跨域
-
其它跨域解決方案
重點談一下 Jsonp 跨域原理。瀏覽器的同源策略把跨域請求都禁止了，但是頁面中的 <script><img><iframe> 標籤是例外，不受同源策略限制。Jsonp 就是利用 <script> 標籤跨域特性進行跨域資料訪問。
JSONP 的理念就是，與服務端約定好一個回撥函式名，服務端接收到請求後，將返回一段 Javascript，在這段 Javascript 程式碼中呼叫了約定好的回撥函式，並且將資料作為引數進行傳遞。當網頁接收到這段 Javascript 程式碼後，就會執行這個回撥函式，這時資料已經成功傳輸到客戶端了。
JSONP 的缺點是：它只支援 GET 請求，而不支援 POST 請求等其他型別的 HTTP 請求。
以上就是有關 Cookie 和 Session 常見的面試點，不知道有多少同學可以在面試中準確回答所有問題。
Java 極客技術公眾號，是由一群熱愛 Java 開發的技術人組建成立，專注分享原創、高質量的Java 文章。如果您覺得我們的文章還不錯，請幫忙贊賞、在看、轉發支持，鼓勵我們分享出更好的文章。
關注公眾號，大家可以在公眾號後臺回覆“部落格園”，免費獲得作者 Java 知識體系/面試必看資料。