大家常说"Cookie保存在客户端而Session保存在服务端"，很多人看了有疑惑，明明Session就在Cookie中啊，为什么这么说？二者到底有啥区别？

一、Cookie

首先分清Cookies和Cookie

Cookies严格来说是个存储空间，是个载体，用提交持久化的信息，浏览器发送HTTP请求时会自动带上此域的所有Cookie，抓包能发现就在HTTP Header中

Cookie就是存储在Cookies中的一条条数据

但当我们说Cookie和Session的区别时，这里的Cookie就变成了一种和Session一样的机制，用来比较

网站设计时，服务端可能每次收到请求都需要知道客户端的某种信息，比如用户登录时间，这种信息又不足以重要到需要保存在服务端，那么可以借助Cookie

数据在服务端生成，生成后通过Set-Cookie发送给客户端后，服务端自身不保存，当客户端再次有请求时，服务端可以从请求的HTTP Header中调出这个数据

这能解释"Cookie保存在客户端"了

二、Session

Session是身份认证的凭证，用户登录后，服务器分发一个凭证，以后用户再请求带上这个凭证就能明确身份，不用每次都用账号密码来证明身份

这么重要的数据当然得保存在服务端，且以服务端的为准。但客户端也得保存，才能在登录周期中每次请求都带上

"每次请求都带上"这显然就和Cookie一样，所以就有很多开发者把Session放在Cookie里，不用自己写前端代码把Session塞进请求里，浏览器自己会带上

但Session和Cookie真的一样么？当然不，这样设计会带来安全问题。

三、Session Cookie混用带来的安全问题

目前的浏览器有以下空间供网站使用

• Cookie：持久保存，大小限制4kb，最多放20个，每次请求都会带上所有Cookie

• Session Storage：关闭标签后失效，请求不会主动带上

• Local Storage：持久保存，请求不会主动带上

我们再来看几个Web的安全漏洞

• XSS，跨站脚本攻击。攻击者获得页面的js权限，能操作页面的一切，包括Session Storage和未设置HTTP Only属性的Cookie

• CSRF，跨站请求伪造，就是钓鱼网站，在网站A，发送一个向网站B的请求，由于浏览器会在请求中加上此域的Cookie，所以如果在浏览器登录了网站B，又打开了钓鱼网站A，网站A构造的前往网站B的请求就会带上你的Cookie，如果Cookie中有用户凭证，服务器认为你是登录用户，请求就会被响应。比如点赞、关注、发色情广告等请求

防御XSS，把关机Cookie设置HTTP Only属性即可，js无权访问

而防御CSRF，推荐使用token机制，服务器颁发token，存储在Session Storage中，js将其添加到请求的参数或Header中

以上两个措施，都需要做到，才能防护这两个攻击。

另外博主以为，服务器校验referer Header也是能防御CSRF的