在Web應用中，HTTP請求是無狀態的。也就是說在用戶第一次發起請求，與服務器建立連接並登錄成功後，為避免每次打開一個頁面都需要登錄一下，系統都會出現cookie和Session提示。
一、Cookie
Cookie是一種客戶端保存用戶信息狀態的機制，用來記錄用戶的一些信息，也是實現Session的一種方式。Cookie存儲的數據量有限，且都是保存在客戶端瀏覽器中。不同的瀏覽器有不同的存儲大小，但一般不超過4KB。因此使用Cookie實際上只能存儲一小段的文本信息。
二、Session
Session是另一種記錄客戶狀態的機制，它是在服務端保存的一個數據結構（主要存儲的的SessionID和Session內容，同時也包含了很多自定義的內容如：用戶基礎信息、權限信息、用戶機構信息、固定變量等），這個數據可以保存在集群、數據庫、文件中，用於跟蹤用戶的狀態。
客戶端瀏覽器訪問服務器的時候，服務器把客戶端信息以某種形式記錄在服務器上。這就是Session。客戶端瀏覽器再次訪問時只需要從該Session中查找該客戶的狀態就可以了。
用戶第一次登錄後，瀏覽器會將用戶信息發送給服務器，服務器會為該用戶創建一個SessionId，並在響應內容（Cookie）中將該SessionId一併返回給瀏覽器，瀏覽器將這些數據保存在本地。當用戶再次發送請求時，瀏覽器會自動的把上次請求存儲的Cookie數據自動的攜帶給服務器。
服務器接收到請求信息後，會通過瀏覽器請求的數據中的SessionId判斷當前是哪個用戶，然後根據SessionId在Session庫中獲取用戶的Session數據返回給瀏覽器。
如果說Cookie機制是通過檢查客戶身上的“通行證”來確定客戶身份的話，那麼Session機制就是通過檢查服務器上的“客戶明細表”來確認客戶身份。Session相當於程序在服務器上建立的一份客戶檔案，客戶來訪的時候只需要查詢客戶檔案表就可以了。
Session生成後，只要用戶繼續訪問，服務器就會更新Session的最後訪問時間，並維護該Session。為防止內存溢出，服務器會把長時間內沒有活躍的Session從內存刪除。這個時間就是Session的超時時間。如果超過了超時時間沒訪問過服務器，Session就自動失效了。
三、Token
HTTP請求都是以無狀態的形式對接。即HTTP服務器不知道本次請求和上一次請求是否有關聯。所以就有了Session的引入，即服務端和客戶端都保存一段文本，客戶端每次發起請求都帶著，這樣服務器就知道客戶端是否發起過請求。
這會導致導致客戶端頻繁向服務端發出請求數據，服務端頻繁的去數據庫查詢用戶名和密碼並進行對比，判斷用戶名和密碼正確與否。而Session的存儲是需要空間的，頻繁的查詢數據庫給服務器造成很大的壓力。
在這種情況下，Token應用而生。Token是服務端生成的一串字符串，以作客戶端進行請求的一個令牌。當客戶端第一次訪問服務端，服務端會根據傳過來的唯一標識userId，運用一些算法，並加上密鑰，生成一個Token，然後通過BASE64編碼一下之後將這個Token返回給客戶端，客戶端將Token保存起來（可以通過數據庫或文件形式保存本地）。下次請求時，客戶端只需要帶上Token，服務器收到請求後，會用相同的算法和密鑰去驗證Token。
使用基於 Token 的身份驗證方法，在服務端不需要存儲用戶的登錄記錄。大概的流程是這樣的：
- 客戶端使用用戶名跟密碼請求登錄
- 服務端收到請求，去驗證用戶名與密碼
- 驗證成功後，服務端會簽發一個 Token，再把這個 Token 發送給客戶端
- 客戶端收到 Token 以後可以把它存儲起來，比如放在 Cookie 裡或者數據庫裡
- 客戶端每次向服務端請求資源的時候需要帶著服務端簽發的 Token
- 服務端收到請求，然後去驗證客戶端請求裡面帶著的 Token，如果驗證成功，就向客戶端返回請求的數據
閱讀更多 石頭大V 的文章
