一. Cookie
1. Cookies的起源
早期Web开发面临的最大问题之一是如何管理状态。简言之，服务器端没有办法知道两个请求是否来自于同一个浏览器。那时的办法是在请求的页面中插入一个token，并且在下一次请求中将这个token返回（至服务器）。这就需要在form中插入一个包含token的隐藏表单域，或着在URL的qurey字符串中传递该token。这两种办法都强调手工操作并且极易出错。
Lou Montulli,那时是网景通讯的一个雇员，被认为在1994年将“magic cookies”的概念应用到了web通讯中。他意图解决的是web中的购物车，现在所有购物网站都依赖购物车。网景浏览器在它的第一个版本中就开始支持cookies，并且当前所有web浏览器都支持cookies。
2. Cookie是什么
坦白的说，一个Cookie就是存储在用户主机浏览器中的一小段文本文件。Cookies是纯文本形式，它们不包含任何可执行代码。一个Web页面或服务器告之浏览器来将这些信息存储并且基于一系列规则在之后的每个请求中都将该信息返回至服务器。Web服务器之后可以利用这些信息来标识用户。多数需要登录的站点通常会在你的认证信息通过后来设置一个Cookie，之后只要这个Cookie存在并且合法，你就可以自由的浏览这个站点的所有部分。再次，Cookie只是包含了数据，就其本身而言并不有害。
3. 何时创建Cookie
通过HTTP的Set-Cookie消息头，Web服务器可以指定存储一个Cookie。
4.如何获取Cookie
当请求某个 URL 路径时，浏览器会根据这个 URL 路径将符合条件的 Cookie 放在 Request 请求头中传回给服务端，服务端通过 request.getCookies() 来取得所有 Cookie。
二. session的出现
Cookie 可以让服务端程序跟踪每个客户端的访问，但是每次客户端的访问都必须传回这些 Cookie，如果 Cookie 很多，就会增加客户端与服务端的数据传输量，而 Session 的出现正是为了解决这个问题。
同一个客户端每次和服务端交互时，不需要每次都传回所有的 Cookie 值，而是只要传回一个 ID，这个 ID 是客户端第一次访问服务器的时候生成的，而且每个客户端是唯一的。这样每个客户端就有了一个唯一的 ID，客户端只要传回这个 ID 就行了，这个 ID 通常是 NANE 为 JSESIONID 的一个 Cookie。
三. Cookie和Session有什么区别
Cookie保存在客户端，Session保存在服务器端；
Cookie可以跟踪会话，也可以保存用户喜好或者保存用户名密码; Session用来跟踪会话
四. 小栗子
i) 当我们登录网站勾选保存用户名和密码的时候，一般保存的都是cookie，将用户名和密码的cookie保存到硬盘中，这样再次登录的时候浏览器直接将cookie发送到服务端验证。当然，直接将username和password保存到客户端不安全，浏览器也可以加密解密这样做。再比如用户喜欢的网页背景色，比如QQ空间的背景，这些信息也是可以通过cookie保存到客户端的，这样登录之后直接浏览器直接就可以拿到相应的偏好设置。
ii) 跟踪会话，某些网站中网页有不同的访问权限，用户级别不同访问限制不同，但是http请求是无状态的，每次访问时，服务端并不知道是否是登录用户。这时很自然的想到在http请求报文中加入登录标识就可以了，这个登录标识就可以是cookie。服务端要保存所有登录用户的cookie，这样请求报文来了之后拿到登录标识cookie，在服务端再进行比较。再比如购物网站，多次点击添加商品到购物车时，客户端很容易知道哪些物品在购物车中，但是服务端怎么知道每次添加的物品放到哪个登录用户的购物车中呢？也需要请求报文中带着cookie才行（在不登陆的情况下京东也是可以不断添加商品的，推测应该是登录的时候一并创建cookie并且发送物品信息），这些cookie都是为了跟踪会话用的，所以客户端有，服务端也有，并且服务端有全部的会话cookie。
后面衍生出session技术,session技术是要使用到cookie的，之所以出现session技术，主要是为了安全。
iii) http是无状态的协议，客户每次读取web页面时，服务器都打开新的会话，而且服务器也不会自动维护客户的上下文信息，那么要怎么才能实现网上商店中的购物车呢，session就是一种保存上下文信息的机制，它是针对每一个用户的，变量的值保存在服务器端，通过SessionID来区分不同的客户,session是以cookie或URL重写为基础的，默认使用cookie来实现，系统会创造一个名为JSESSIONID的输出cookie，我们叫做session cookie,以区别persistent cookies,也就是我们通常所说的cookie,注意session cookie是存储于浏览器内存中的，并不是写到硬盘上的，这也就是我们刚才看到的JSESSIONID，我们通常情是看不到JSESSIONID的，但是当我们把浏览器的cookie禁止后，web服务器会采用URL重写的方式传递Sessionid，我们就可以在地址栏看到 sessionid=KWJHUG6JJM65HS2K6之类的字符串。