Cookie 和 Session 分别存储在客户端还是服务端？

从“存包凭条”到“后台存包柜”Cookie 与 Session 的存储位置深度剖析1. 引言超市存包处的“凭条”与“存包柜”2. 前置知识HTTP 的“健忘症”3. Cookie客户端的“小凭条”3.1 是什么3.2 解决什么问题3.3 怎么工作3.4 存储位置的细节3.5 核心属性与安全注意事项4. Session服务端的“存包柜”4.1 是什么4.2 解决什么问题4.3 怎么工作4.4 Session 的存储位置4.5 为什么 Session 比 Cookie 安全5. 巅峰对决存储位置决定一切6. 知识扩展分布式架构下的 Session 共享6.1 问题Session 丢失6.2 解决方案7. 常见误区与安全实践7.1 误区禁用 Cookie 后 Session 完全不可用7.2 误区Session 比 Cookie 安全所以完全不用 Cookie7.3 安全实践清单8. 总结1. 引言超市存包处的“凭条”与“存包柜”想象你去逛超市进门时在存包处存了一个背包。工作人员递给你一张小凭条上面只有一组编号Cookie。你拿着凭条轻松逛超市而你的背包则被锁在存包柜里Session。凭条上只有编号没有你的背包信息存包柜里是真实的物品但必须通过凭条编号才能打开。结账后你凭小凭条取回背包凭条失效。如果这家超市开了连锁店分布式系统只要所有分店都能通过同一个系统查询到存包柜信息你在这家存的包去另一家店也能凭同一张凭条取出来。这就是 Cookie 与 Session 的核心区别——存储位置决定了它们各自扮演的角色Cookie 是客户端浏览器的“凭条”Session 是服务端服务器的“存包柜”。本文将从最基础的“为什么需要它们”讲起深入剖析 Cookie 与 Session 在存储位置上的本质区别并延伸到分布式架构下的演进方案。2. 前置知识HTTP 的“健忘症”在了解存储位置之前我们需要先理解一个关键问题为什么需要 Cookie 和 SessionHTTP 协议在设计之初是为了传输静态文档它有一个重要特点——无状态Stateless。这意味着服务器不会记住两次请求之间的关系。你第一次请求购物车页面时加了一件商品第二次请求结账页面时服务器已经忘了你是谁更不记得购物车里有什么。为了让服务器能“记住”用户Web 开发者需要一种机制来保持状态。Cookie 和 Session 正是为了解决这个问题而诞生的。而它们的存储位置直接决定了它们的能力边界和适用场景。3. Cookie客户端的“小凭条”3.1 是什么Cookie是一段存储在客户端通常是浏览器的小型文本数据大小限制在 4KB 左右。它由服务器通过 HTTP 响应头发送给浏览器浏览器保存下来并在后续请求中自动携带回服务器。3.2 解决什么问题Cookie 让服务器有能力在客户端“存放”一个身份标识并确保这个标识能在后续请求中被自动送回。它是实现“有状态”交互的基础工具。3.3 怎么工作服务器生成用户首次访问时服务器在 HTTP 响应头中添加Set-Cookie字段。浏览器存储浏览器解析响应头将 Cookie 保存到本地内存或硬盘文件。自动携带此后浏览器每次向同一域名发起请求时都会在请求头中自动加上Cookie字段携带之前存储的所有 Cookie。服务器读取服务器从请求头中读取 Cookie识别用户身份。// 服务器响应 HTTP/1.1 200 OK Set-Cookie: sessionIdabc123; Path/; HttpOnly; Secure // 后续请求 GET /user/profile HTTP/1.1 Cookie: sessionIdabc1233.4 存储位置的细节Cookie 可以存储在两种地方内存中不设置过期时间会话级 Cookie浏览器关闭即消失。硬盘文件中设置Expires或Max-Age属性持久化存储即使重启浏览器仍然存在。无论哪种形式数据都保存在用户的计算机上服务器不主动存储任何 Cookie 内容。3.5 核心属性与安全注意事项属性作用安全建议HttpOnly禁止 JavaScript 读取 Cookie✅必须设置防止 XSS 攻击窃取 CookieSecure仅通过 HTTPS 传输✅敏感 Cookie 必须设置防止明文传输SameSite控制跨站点请求时是否携带✅ 设置Lax或Strict缓解 CSRF 攻击Domain/Path限制 Cookie 的作用域✅ 遵循最小权限原则避免跨域泄露4. Session服务端的“存包柜”4.1 是什么Session是存储在服务端的数据结构通常放在服务器内存、Redis 或数据库中。每个 Session 有一个唯一的Session ID这个 ID 通过 Cookie 传递给客户端。4.2 解决什么问题Cookie 存储在客户端存在两个天然缺陷一是容量有限4KB二是数据暴露在外。对于敏感信息如登录状态、用户身份放在客户端既不安全也不够用。Session 将这些数据保存在服务端客户端只保留一个“钥匙”Session ID既安全又能承载复杂数据结构。4.3 怎么工作创建 Session用户首次访问时服务器创建一个 Session 对象生成唯一的 Session ID。传递 Session ID服务器通过Set-Cookie将 Session ID 写入客户端 Cookie默认 Cookie 名称为JSESSIONID。携带 Session ID后续请求中浏览器自动携带该 Cookie。定位数据服务器根据 Session ID 找到对应的 Session 对象读取或更新其中的数据。// Java Servlet 示例HttpSessionsessionrequest.getSession();// 获取或创建 Sessionsession.setAttribute(userId,1001);// 存入数据4.4 Session 的存储位置Session 数据可以存储在多个地方不同方案各有优劣存储位置优点缺点适用场景服务器内存读取最快无法跨节点共享重启即丢失单机应用、开发测试数据库持久化可跨节点读写性能较差小规模、并发低Redis / Memcached高性能支持分布式需要额外组件维护生产环境首选4.5 为什么 Session 比 Cookie 安全敏感数据如用户 ID、权限从不离开服务器无法被用户查看或篡改。客户端只有 Session ID即使被截获攻击者只能冒充会话而无法直接获取用户数据。配合HttpOnly和Secure属性保护承载 Session ID 的 Cookie可有效防御 XSS 和中间人攻击。5. 巅峰对决存储位置决定一切对比维度Cookie客户端存储Session服务端存储存储位置客户端浏览器内存或硬盘文件服务端内存 / Redis / 数据库安全性低数据可被用户查看、篡改易受 XSS 窃取高敏感数据不离开服务器容量受限约 4KB无硬性上限受服务端资源限制生命周期可设置Expires持久化或浏览器关闭即失效依赖服务端超时设置如 20-30 分钟性能影响无服务端存储开销但每次请求自动携带增加带宽高并发时占用内存需考虑序列化开销分布式支持天然无状态客户端自动携带需集中存储如 Redis实现共享典型用途用户偏好、埋点标识、Session ID登录态、购物车、验证码、临时数据6. 知识扩展分布式架构下的 Session 共享6.1 问题Session 丢失在单机部署中Session 存储在应用服务器的内存中没有问题。但在分布式架构中用户的请求可能被负载均衡到不同的服务器。如果用户在 A 服务器登录Session 存在 A 的内存中下次请求被转发到 B 服务器时B 没有该用户的 Session用户就会“被踢下线”。6.2 解决方案方案实现方式优点缺点请求精确定位Nginxip_hash策略固定 IP 分配到固定服务器实现简单无需改动代码服务器宕机会导致 Session 丢失不够灵活Session 复制Tomcat 等容器支持 Session 广播复制对应用透明复制成本随服务器增加指数级上升不适合大规模集群集中式 Session 存储Spring Session Redis统一存储业界主流高性能支持集群服务器无状态需要额外维护 Redis无状态 TokenJWT服务端不存储将用户信息加密放入 Token客户端保存彻底无状态天然适合分布式Token 无法主动失效需维护黑名单集中式存储示例Spring Boot Redisspring.session.store-typeredis spring.redis.hostlocalhost spring.redis.port63797. 常见误区与安全实践7.1 误区禁用 Cookie 后 Session 完全不可用正解可通过 URL 重写传递 Session ID但存在安全风险且体验差生产中不推荐。7.2 误区Session 比 Cookie 安全所以完全不用 Cookie正解Session 依赖 Cookie 传递 Session ID这个存储 Session ID 的 Cookie 必须设置HttpOnly、Secure、SameSite等安全属性才能保证整体安全。7.3 安全实践清单✅敏感数据严禁存入 Cookie必须存 Session✅承载 Session ID 的 Cookie 必须设置HttpOnly、Secure、SameSiteLax✅分布式环境使用 Redis 集中存储 Session避免单点内存溢出✅Session 超时时间不宜过长一般 20-30 分钟即可✅禁止将用户密码等敏感信息暴露在 Cookie 中8. 总结Cookie 存客户端就像超市的“小凭条”只存身份标识适合不敏感、轻量、需持久化的数据如用户偏好。Session 存服务端就像超市的“存包柜”存放真实的用户状态适合敏感、临时、需服务端管控的数据如登录态。两者配合使用Cookie 承载 Session ID服务端存储实际数据兼顾安全与便利。分布式演进面对多节点部署集中式存储如 Redis解决了 Session 共享问题JWT 等无状态方案则为微服务架构提供了更轻量的选择。理解存储位置就抓住了 Cookie 与 Session 的本质区别。希望本文能帮你建立起清晰的认知在实际项目中做出正确的技术决策。