cookie/session/token三者区别和优缺点

cookie

cookie由服务器生成，发送给浏览器，浏览器把cookie以kv形式保存到某个目录下的文本文件内，下一次请求同一网站时会把该cookie发送给服务器。==所以cookie是保存在浏览器的客户端。==一般会存储用户的身份信息，有些系统也会通过cookie记录一些用户的操作习惯。

优点：

• 易于使用，可以由服务器在响应头中设置。
• 大多数浏览器支持并在所有请求中发送cookie。
• 可以存储大量数据。
• 与服务器保持状态，有助于进行状态管理。

缺点：

• 大小限制（通常为4KB）并且浏览器都限制一个站点最多保存20个cookie。
• 易于遭到XSS攻击，因为存储在客户端，攻击者可以访问。
• CSRF攻击，需要额外的防护措施。
• 隐私问题，用户数据存储在本地，并且数据可以被轻易查看。。
• 性能影响，每次请求都会发送cookie数据。
• 字符编码为 Unicode，不支持直接存储中文。
• 不可跨域

session

Session是一种在服务器端存储用户会话信息的方式，通常与Cookie配合使用，以保持用户的状态。Session的优点包括安全性较高，因为数据保存在服务器端，不易被篡改；其缺点包括可能增加服务器的负担，特别是在高并发情况下，以及可能面临扩展性问题，如服务器集群时的Session同步问题。

优点：

• 存储空间较cookie大。
• 不会被保存在客户端，相对更安全。
• 可以使用服务器端存储，如数据库，可以更容易进行扩展。

缺点：

• 需要在服务器端保存，增加服务器负担。
• 依赖于服务器，服务器宕机或重启会导致数据丢失。
• 无法跨域进行session管理。
• 用户登录后，服务器需要维护用户状态，增加服务器负担。

token

Token则是在服务器端生成并在认证过程中分发给客户端的数据片段，通常用于验证客户端的身份。Token可以包含用户的身份信息和权限声明，存储在服务器的数据库中；客户端可以将Token保存在任何地方，如本地存储或服务器端的缓存系统中。Token 可以有效地避免了 Cookie 的一些安全问题，比如 CSRF (跨站请求伪造)攻击。

优点：

• 无需在服务器端保存session信息，减少服务器负担。
• 支持跨域会话（只要客户端携带token即可）。
• 无状态、可扩展性好。
• 支持移动设备使用。
• 安全性较高，不需要保存在客户端。
• 不需要依赖cookie，可以避免XSS和CSRF攻击。

缺点：

• 如果token被盗，那么攻击者可以不受限制地访问数据。
• 每次请求需要传输token，可能会增加带宽消耗。
• 服务器不能主动向客户端发送信息，需要依赖于客户端轮询或者长轮询。

三者对比

cookie、session、token三者最终的目的都是一样：鉴权和认证，下面使用表格的方式直观的描述下三者的优缺点。

总结下来就是session 是空间换时间，token 是时间换空间。

cookie数据存放在客户的浏览器上、session数据放在服务器内存上、token存储在服务器数据库上

参考文章：https://zhuanlan.zhihu.com/p/631349844