Session是运行在服务器的，不可造假，例如：医生需要一个私人账本，记录病人编号和身份的对应关系。由于身份证无法造假，所以能够保证信息不被假冒。两点：身份证无法造假，这个身份证就可以唯一标识这个用户；核心信息放到服务器上，客户端无法去篡改。
Cookie不能存储机密数据。要使用ASP.Net已经内置的Session机制。普通的HttpHandler要能够操作Session，必须实现IRequiresSessionState接口，这个接口是没有任何方法的“标记接口”，因为session处理会稍微降低系统性能，所以 HttpHandler 默认不处理Session，asp.net引擎如果看到ashx实现了IRequiresSessionState，则帮咱们处理。
Session有自动销毁机制，如果一段时间内浏览器没有和服务器发生任何的交互，则Session会定时销毁。这也就是为什么一段时间不操作，系统就会自动退出。
设置session过期时间：
在web.config的system.web节点下配置sessionState节点的timeout，单位是分钟，默认是20（也只是一个建议，也许服务器10分钟的时候就让Session失效了）
<sessionState timeout="20"></sessionState>