Cookie和Session有什么区别？网站登录状态是如何保存的？
很多人登录网站后，即使切换页面，也不需要反复输入账号和密码。这背后通常涉及Cookie、Session或其他身份验证机制。
那么，Cookie和Session有什么区别？
一、Cookie是什么？
Cookie通常由网站通过HTTP响应设置，并由浏览器根据相关规则保存和发送。
它可以用于保存一些客户端状态信息，例如偏好设置或会话标识。
Cookie存储在用户的浏览器中，因此不应该把密码、长期有效的密钥等敏感信息直接放进去。
二、Session是什么？
Session是一种在服务器端维护用户会话状态的常见方式。
用户登录后，服务器可以创建一个会话，并生成相应的会话标识。浏览器通过Cookie发送这个标识，服务器再根据标识找到对应的会话信息。
简单理解：
Cookie：通常负责在浏览器中保存和传递标识。
Session：通常负责在服务器端保存与会话有关的状态。
但这不是唯一的实现方式。现代网站也可能使用服务端令牌、JWT或其他认证机制。
三、为什么登录状态有时会突然失效？
可能的原因包括：
会话已经过期
浏览器清除了Cookie
服务器重启后丢失了未持久化的会话数据
多台服务器之间没有共享会话状态
系统主动注销了用户会话
如果网站部署在多台服务器上，通常需要设计合理的会话共享或路由机制，避免用户请求切换服务器后无法识别登录状态。
四、网站应该注意哪些安全问题？
登录会话标识一旦泄露，可能被他人利用。因此，应根据业务情况设置安全的Cookie属性，例如Secure、HttpOnly和合适的SameSite策略，同时使用HTTPS保护传输过程。
还应合理设置会话有效期，并在退出登录、密码修改等关键操作后处理旧会话。
总结：Cookie和Session都与网站状态管理有关，但作用并不完全相同。理解两者的区别，有助于设计更加稳定、安全的登录系统。
