cookie和session

cookie和session都是用来跟踪浏览器用户身份的会话方式。cookie数据保存在客户端，session数据保存在服务器端。考虑到安全应当使用session，考虑到减轻服务器性能方面，应当使用cookie。

如果web服务器端使用的是session，那么所有的数据都保存在服务器上，客户端每次请求服务器的时候会发送当前会话的sessionid，保存sessionid的方式可以采用cookie、url重写等方式，存储于浏览器内存中，服务器根据当前sessionid判断相应的用户数据标志，以确定用户是否登录或具有某种权限。由于数据是存储在服务器上面，所以你不能伪造，但是如果你能够获取某个登录用户的sessionid，用特殊的浏览器伪造该用户的请求也是能够成功的。sessionid是服务器和客户端链接时候随机分配的，一般来说是不会有重复，但如果有大量的并发请求，也不是没有重复的可能性。

如果浏览器使用的是cookie，那么所有的数据都保存在浏览器端，比如你登录以后，服务器设置了cookie用户名，那么当你再次请求服务器的时候，浏览器会将用户名一块发送给服务器，这些变量有一定的特殊标记。如果不设置过期时间，则表示这个cookie的生命期为浏览器会话期间，关闭浏览器窗口cookie就消失。如果设置了的过期时间，浏览器会将cookie保存在客户端的硬盘上，下次再访问该网站的时候，浏览器先检查有没有cookie，如果有的话就读取该cookie，然后发送给服务器。如果直接将cookie文件拷贝到别人的浏览器目录下面，浏览器是不认的，因为它有一个index.dat文件，存储了cookie文件的建立时间，以及是否有修改，所以必须要先有该网站的cookie文件，并且要从保证时间上骗过浏览器，才能保证拷贝的cookie能生效。所以，cookie是可以伪造的，使用cookie被攻击的可能性比较大。