token和session有什么区别

Token和Session都是用于管理用户认证和授权的机制。

Session是一种服务器端的记录机制，它用于跟踪用户的会话状态。当用户登录系统后，服务器将为其创建一个唯一的Session ID，并将该Session ID存储在Cookie中，下次用户再访问该系统时，会将Cookie中的Session ID传回给服务器，服务器会根据Session ID来查找对应的Session数据，实现用户状态的保持。Session通常需要将Session数据存储在内存或数据库中，因此需要占用一定的服务器资源。

Token是一种无状态的认证方式，它将用户的身份信息加密后生成一个Token字符串，发送给客户端保存，客户端在每次访问系统时都将该Token作为参数发送给服务器，在服务器端使用密钥对Token进行解密，并校验其合法性，来判断用户的身份信息是否有效。Token的优点是可以避免服务器端存储Session数据所带来的开销，同时也可以实现多服务器之间的身份认证共享。

因此，Token和Session的主要区别有：

1. 存储位置不同：Session需要将用户数据存储在服务器端，而Token将用户数据存储在客户端。

2. 认证方式不同：Session是基于服务器端的认证方式，而Token是基于密钥加密的认证方式。

3. 状态管理方式不同：Session是基于有状态的机制，需要服务器维护会话状态；而Token是基于无状态的机制，不需要服务器维护状态，可以实现多服务器之间的认证共享。

4. 安全性不同：Session需要在服务器端保存用户数据，存在会话劫持等安全隐患；而Token只需要将加密的身份信息发送给客户端保存，且Token本身具有加密签名，可以更加有效保证认证信息的安全性。