http是无状态的网络协议,请求响应后，断开了TCP连接，下一次连接与上一次无关。为了识别不同的请求是否来自同一客户，引用HTTP会话机制,而维持这个会话则主要靠session和cookie。简单来说，cookie机制采用的是在客户端保持状态的方案，而session机制采用的是在服务器端保持状态的方案。
一、cookie
由于HTTP是一种无状态的协议，服务器单从网络连接上无从知道客户身份。怎么办呢？就给客户端们颁发一个通行证吧，每人一个，无论谁访问都必须携带自己通行证。这样服务器就能从通行证上确认客户身份了，而这个通行证就是cookie了。Cookie实际上是一小段的文本信息，存储在客户端，Web服务器通过传送HTTP 包头中的Set-Cookie 消息把一个cookie发送到用户的浏览器中,内容主要包括：名字，值，过期时间，路径和域，路径与域一起构成cookie的作用范围果不设置过期时间，则表示这个cookie的生命期为浏览器会话期间，只要关闭浏览器窗口，cookie就消失了。这种生命期为浏览器会话期的 cookie被称为会话cookie。会话cookie一般不存储在硬盘上而是保存在内存里，当然这种行为并不是规范规定的。如果设置了过期时间，浏览器 就会把cookie保存到硬盘上，关闭后再次打开浏览器，这些cookie仍然有效直到超过设定的过期时间。
二、session
session机制是一种服务器端的机制，服务器使用一种类似于散列表的结构来保存信息，一般存储在文件、数据库或内存中。当客户端第一次请求服务端的时候，服务端会检查客户端的请求是否包含sessionid，如果有的话则会检索这个sessionid对应的session是否存在，如果不存在则会创建相应的会话信息，生成对应的session，并将sessionid返回给客户端，客户端接收到这个sessionid，把它存储起来，下一次发送请求的时候，附带着这个session一起发送给服务端，服务端只要根据这个sessionid，就知道是谁了,而这个sessionid就是这次会话生命周期的凭证，服务端可以给这个sessionid设置过期时间，一但客户端丢失这个sessionid或者是服务端认为这个sessionid失效了，那么这次会话就结束了。
三、如何保持登录状态
1、session
使用session保持登录状态是相对安全的一种方式，但是session保持的会话一般都是很短暂的，并且关闭浏览器也会销毁session，这样就会导致用户登录状态频繁丢失，适用于用户验证严格的系统。
2、cookies
使用cookie在客户端保存用户信息（不建议保存用户密码，即使进行加密）来达到保持登录状态也是常用的一种办法，可以达到长期保持登录状态，但是不可否认的是这种方式不太安全，容易被伪造，我们能做的就是去尽量提高伪造的难度，例如对cookie的内容进行加密，传到服务端再进行解密或校验。
3、token
然而某些浏览器禁用了cookie或者是app应用呢，此时可以采用token机制。token机制就是当用户登录成功的时候服务端采用算法生成一串字符串，保存在数据库，并设置过期时间然后返回给客户端，客户端拿到这个token在以后多的每次请求时带上这个token，服务端接收到这个token会进行验证，如果校验通过则认为该用户是处于登录状态的，否则返回未登录异常，客户端再次跳转到登录页面。然而有人会问，如果这个token被盗取了那别人不就可以伪装这个用户为所欲为了吗，我们可以引入一个secret的概念，一个用户id对应一个secret，这个secret客户端和服务端都需要知道，客户端接收到token后将token和secret一起进行可逆加密，生成一串字符串，然后把该字符串连同用户id一起传给服务端，服务端接收到后拿用户id去数据库检索secret，和服务端采用一样的加密算法将token和该secret进行加密，与客户端传过来的字符串进行比较，如果一致的话则证明该用户是有效的。由于黑客无法知道这个secret，所以就算知道了token他也无可奈何。