1. 基本概念对比

1.1 存储位置

1.2 工作原理

# Cookie工作流程
1. 服务器发送Cookie
Set-Cookie: user=john; expires=Sat, 31 Dec 2023 23:59:59 GMT

2. 浏览器存储Cookie

3. 后续请求自动携带Cookie
Cookie: user=john

# Session工作流程
1. 用户登录
2. 服务器创建Session并生成SessionID
3. 将SessionID通过Cookie发送给客户端
4. 客户端请求时携带SessionID
5. 服务器验证SessionID并返回数据

# Token工作流程
1. 用户登录后服务器生成Token
2. 客户端存储Token
3. 请求时在Header中携带Token
Authorization: Bearer <token>

2. 特点比较

2.1 Cookie

• 优点：

  1. 减轻服务器负担
  2. 实现简单
  3. 支持浏览器原生

• 缺点：

  1. 安全性较低
  2. 容易被篡改
  3. 容量限制（4KB）
  4. 受同源策略限制

2.2 Session

• 优点：

  1. 安全性高
  2. 数据存储在服务器
  3. 可存储复杂数据结构

• 缺点：

  1. 增加服务器负载
  2. 分布式系统实现复杂
  3. 依赖Cookie传递SessionID

2.3 Token

• 优点：

  1. 无状态
  2. 支持跨域
  3. 适合移动端
  4. 安全性高

• 缺点：

  1. 占用带宽
  2. 无法主动过期
  3. 实现相对复杂

3. 使用建议

3.1 场景选择

# Cookie适用场景
- 用户偏好设置
- 非敏感信息存储
- 购物车信息

# Session适用场景
- 用户登录状态
- 敏感信息存储
- 需要高安全性的场景

# Token适用场景
- RESTful API认证
- 移动应用认证
- 分布式系统认证

3.2 最佳实践

1. 敏感信息存储

# 推荐方案
- 登录凭证：Token/Session
- 用户偏好：Cookie
- 购物车：Cookie + 服务器同步

2. 安全性配置

# Cookie安全配置
Set-Cookie: sessionId=abc123; HttpOnly; Secure; SameSite=Strict

# Token安全措施
- 使用HTTPS传输
- 设置合理的过期时间
- 实现Token刷新机制

3. 混合使用策略

# 前后端分离项目
- 认证：Token (JWT)
- 非敏感数据：Cookie
- 临时数据：LocalStorage

# 传统Web项目
- 认证：Session
- 用户偏好：Cookie

4. 安全建议

4.1 Cookie安全

1. 设置HttpOnly防止XSS攻击
2. 启用Secure确保HTTPS传输
3. 配置SameSite防止CSRF攻击
4. 设置合理的过期时间

4.2 Session安全

1. 定期轮换SessionID
2. 设置Session超时机制
3. 验证Session完整性
4. 使用安全的Session存储

4.3 Token安全

1. 使用强加密算法
2. 包含过期时间
3. 实现Token刷新机制
4. 维护Token黑名单

5. 性能优化

5.1 服务器优化

# Session存储优化
- 使用Redis存储Session
- 实现Session集群
- 定期清理过期Session

# Token处理优化
- 使用缓存验证Token
- 合理设置Token大小
- 实现Token压缩

5.2 客户端优化

1. 合理设置Cookie大小
2. 及时清理过期Cookie
3. 使用LocalStorage辅助存储
4. 实现Token自动刷新