session與cookie的區別

session是儲存在伺服器端的驗證會話資訊。session機制透過訪問時校驗sessionid實現。最好每次訪問時更換sessionid.

cookie是放在客戶端的驗證機制。一般放在瀏覽器中，透過開發模式裡面的cookies可以拿到。可以設定為http-only.禁止js指令碼訪問的方式，防止指令碼攻擊拿到cookie.xss跨站指令碼攻擊。