Token和Session 原理及优缺点
Session和Token的区别
一、cookie
http请求时无状态的。就是说第一次和服务器连接并登陆成功后，第二次请求服务器仍然不知道当前请求的用户。
cookie出现就是解决了这个问题，第一次登陆后服务器返回一些数据(cookie)给浏览器，然后浏览器保存在本地，当用户第二次返回请求的时候，就会把上次请求存储的cookie数据自动携带给服务器。
如果关闭浏览器cookie失效(cookie就是保存在内存中)
如果关闭浏览器cookie不失效(cookie保存在磁盘中)
二、session
session和cookie的作用有点类似，都是为了存储用户相关的信息。不同的是，cookie是存储在本地浏览器，而session存储在服务器。存储在服务器的数据会更加的安全，不容易被窃取。但存储在服务器也有一定的弊端，就是会占用服务器的资源。
- 存储在服务端：通过cookie存储一个session_id，然后具体的数据则是保存在session中。如果用户已经登录，则服务器会在cookie中保存一个session_id，下次再次请求的时候，会把该session_id携带上来，服务器根据session_id在session库中获取用户的session数据。就能知道该用户到底是谁，以及之前保存的一些状态信息。
- 将session数据加密，然后存储在cookie中。这种专业术语叫做client side session。flask采用的就是这种方式，但是也可以替换成其他形式。
cookie和session的区别
cookie数据存放在客户的浏览器上，session数据放在服务器上。
cookie不是很安全，别人可以分析存放在本地的COOKIE并进行COOKIE欺骗考虑到安全应当使用session。
session会在一定时间内保存在服务器上。当访问增多，会比较占用你服务器的性能考虑到减轻服务器性能方面，应当使用COOKIE。
单个cookie保存的数据不能超过4K，很多浏览器都限制一个站点最多保存20个cookie。因此使用cookie只能存储一些小量的数据。
所以个人建议
将登陆信息等重要信息存放为SESSION
其他信息如果需要保留，可以放在COOKIE中
Cookie和Session的方案虽然分别属于客户端和服务端，但是服务端的session的实现对客户端的cookie有依赖关系的，上面我讲到服务端执行session机制时候会生成session的id值，这个id值会发送给客户端，客户端每次请求都会把这个id值放到http请求的头部发送给服务端，而这个id值在客户端会保存下来，保存的容器就是cookie，因此当我们完全禁掉浏览器的cookie的时候，服务端的session也会不能正常使用。
cookie和session的区别
cookie数据存放在客户的浏览器上，session数据放在服务器上
- session出现的原因
因为http协议本身是无状态的，这样你本次请求和上次请求无法判断是不是同一个人操作的。
- session的生成方式
浏览器在第一次访问服务器时，服务器会创建一个session，然后同时为该session生成一个唯一的会话sessionid。然后将sessionid和session存储到缓存/数据库中，然后服务器再把sessionid（名字为JSESSIONID的cookie），以cookie形式发送给客户端。
浏览器再次访问时会携带cookie中的sessionis，然后服务器根据sessionid找到对应的session进行匹配。
如果浏览器禁用了cookie/不支持cookie，可以通过URL重写的方式发送到服务。
- token出现的原因
session的存储是需要空间的，session的传输一般都是通过cookie来传输，或url重写的方式。
token在服务器时可以不用存储用户信息的，token传递的方式也不限于cookie传递，token也可以保存起来。
- token的生成方式
浏览器第一次访问服务器时，会传过来一个唯一表示ID，服务端通过算法，加密钥，生成一个token。通过BASE64编码后将token发送给客户端。
客户端将token保存起来，下次请求带着token，服务器收到请求会用相同的算法取验证toekn，如果通过就继续执行。
token组成:uid(用户唯一的身份标识)、time(当前时间的时间戳)、sign(签名，由token的前几位+盐以哈希算法压缩成一定长的十六进制字符串，可以防止恶意第三方拼接token请求服务器)。还可以把不变的参数也放进token，避免多次查库
- token和session的区别
共同点：都是保存了用户身份信息，都有过期时间。
session翻译为会话，token翻译为令牌。
session是空间换时间，token是时间换空间。
session和sessionid：服务器会保存一份，可能保存到缓存/数据库/文件。
token：服务器不需要记录任何东西，每次都是一个无状态的请求，每次都是通过解密来验证是否合法。
sessionid：一般是随机字符串，要到服务器检索id的有效性。出现请求：服务器重启饿内存中的session没了，数据库服务器挂了
为什么要使用token？
一、session的状态保持及弊端
当用户第一次通过浏览器使用用户名和密码访问服务器时，服务器会验证用户数据，验证成功后在服务器端写入session数据，向客户端浏览器返回sessionid，浏览器将sessionid保存在cookie中，当用户再次访问服务器时，会携带sessionid，服务器会拿着sessionid从数据库获取session数据，然后进行用户信息查询，查询到，就会将查询到的用户信息返回，从而实现状态保持。
弊端：
1、服务器压力增大
通常session是存储在内存中的，每个用户通过认证之后都会将session数据保存在服务器的内存中，而当用户量增大时，服务器的压力增大。
2、CSRF跨站伪造请求攻击
session是基于cookie进行用户识别的, cookie如果被截获，用户就会很容易受到跨站请求伪造的攻击。
3、扩展性不强
如果将来搭建了多个服务器，虽然每个服务器都执行的是同样的业务逻辑，但是session数据是保存在内存中的（不是共享的），用户第一次访问的是服务器1，当用户再次请求时可能访问的是另外一台服务器2，服务器2获取不到session信息，就判定用户没有登陆过。
二、token认证机制
token与session的不同主要在①认证成功后，会对当前用户数据进行加密，生成一个加密字符串token，返还给客户端（服务器端并不进行保存）
②浏览器会将接收到的token值存储在Local Storage中，（通过js代码写入Local Storage，通过js获取，并不会像cookie一样自动携带）
③再次访问时服务器端对token值的处理：服务器对浏览器传来的token值进行解密，解密完成后进行用户数据的查询，如果查询成功，则通过认证，实现状态保持，所以，即时有了多台服务器，服务器也只是做了token的解密和用户数据的查询，它不需要在服务端去保留用户的认证信息或者会话信息，这就意味着基于token认证机制的应用不需要去考虑用户在哪一台服务器登录了，这就为应用的扩展提供了便利，解决了session扩展性的弊端。
作者：菠萝_gopher
链接：https://www.jianshu.com/p/0e77beb3c1e5
来源：简书
著作权归作者所有。商业转载请联系作者获得授权，非商业转载请注明出处。