Session和Cookie是 Web 开发中管理用户状态的核心技术，二者配合实现 “保持用户登录、记录操作信息” 等功能，但本质是两种不同的机制，核心区别可以从「存储位置、安全性、生命周期」等维度拆解：
一、最核心区别：存储位置不同
| 特性 | Cookie | Session |
|---|---|---|
| 存储位置 | 存放在客户端浏览器（用户本地） | 存放在服务器端（后端内存 / 数据库 / Redis） |
| 存储形式 | 以键值对形式存储的文本文件（大小通常限制在 4KB 内） | 以对象形式存储在服务器（大小通常由服务器内存 / 配置决定） |
二、其他关键区别（从开发 / 使用角度）
| 对比维度 | Cookie | Session |
|---|---|---|
| 安全性 | 弱（存储在客户端，可被用户篡改 / 删除） | 强（存储在服务器，用户无法直接修改） |
| 数据类型 | 仅支持字符串（需手动序列化复杂数据） | 支持任意Java对象（直接存储对象） |
| 生命周期 | 可手动设置过期时间（如 7 天），过期前一直保存在客户端 | 默认随浏览器关闭而销毁（或服务器端设置超时时间，如 30 分钟无操作则失效） |
| 传递方式 | 每次请求自动通过HTTP请求头（Cookie字段）发送给服务器 | 需通过Cookie（默认用JSESSIONID）或URL重写传递SessionID，服务器通过SessionID找到对应的 Session 对象 |
| 资源占用 | 不占用服务器资源（存在客户端） | 占用服务器资源（高并发场景需用 Redis 等中间件存储，避免内存溢出） |
| 跨域支持 | 默认不支持跨域（可通过 CORS 配置允许，但有安全风险） | 本身不涉及跨域，但传递SessionID的 Cookie 可能受跨域限制 |
三、通俗理解（举个登录的例子）
比如你登录电商网站：
- 你输入账号密码后，后端验证通过，创建一个 Session 对象（存你在服务器的登录状态、购物车信息），并生成一个唯一的
SessionID（如JSESSIONID=abc123）； - 后端把
SessionID以Cookie 的形式发送给浏览器，浏览器将这个 Cookie 存在本地； - 之后你每次访问网站，浏览器都会自动把这个 Cookie（包含
SessionID）发给服务器； - 服务器通过
SessionID找到对应的 Session 对象，从而知道 “你是已登录的用户”。
四、使用场景选择
- 用 Cookie 的场景：
- 存储不敏感的信息（如 “记住用户名”“语言偏好”）；
- 实现 “7 天免登录”（设置 Cookie 的过期时间为 7 天）。
- 用 Session 的场景：
- 存储敏感信息（如用户 ID、登录状态）；
- 记录用户的临时操作（如未提交的表单内容）。
核心总结
Cookie 是 “服务器给客户端的‘身份证’”，Session 是 “服务器端记录用户信息的‘档案’”——Cookie 负责传递 SessionID，Session 负责存储用户的实际状态信息，二者配合实现用户状态的保持。
