Cookie 与 Session：Web 状态管理核心解析
HTTP 协议本身是无状态的，这意味着服务器无法自动识别连续请求是否来自同一用户。为了解决这个问题，Cookie 和 Session 成为了 Web 开发中维持会话状态的两块基石。
Cookie 机制详解
Cookie 是服务器发送到客户端浏览器的一小段文本信息。当用户访问网站时，服务器通过 HTTP 响应头中的 Set-Cookie 字段告知浏览器存储特定数据。浏览器在后续向同一服务器发起请求时，会自动携带这些 Cookie。
Cookie 主要包含以下属性：
- Name/Value：键值对，用于标识数据。
- Domain/Path：定义 Cookie 的作用范围，只有匹配域名和路径的请求才会发送该 Cookie。
- Max-Age/Expires：设置过期时间。若不设置，则为会话 Cookie，关闭浏览器即销毁；若设置，则持久化到硬盘。
- Secure：仅允许通过 HTTPS 传输。
Cookie 的局限性在于安全性较低，因为数据存储在客户端，容易被篡改或窃取。它适合存储非敏感信息，如用户偏好设置、购物车 ID 等。
Session 机制详解
Session 则是将数据存储在服务器端的解决方案。当用户首次访问时，服务器会创建一个唯一的 Session 对象，并生成一个 SessionID。这个 ID 通常通过 Cookie 发送给客户端保存，或者通过 URL 重写、表单隐藏字段传递。
在 Java Web 环境中（如 Tomcat），Session 的生命周期由服务器控制。例如，调用 HttpServletRequest.getSession(true) 会创建或获取当前用户的 Session。如果客户端禁用了 Cookie，可以通过 URL 重写（如 ;jsessionid=xxx）来维持会话。
Session 的优势在于数据安全性高，敏感信息不暴露在客户端。但缺点是对服务器内存有消耗，且在集群环境下需要配置 Session 共享或持久化策略。
核心区别与联系
| 特性 | Cookie | Session |
|---|---|---|
| 存储位置 | 客户端浏览器 | 服务器端内存/数据库 |
| 安全性 | 低（可被篡改） | 高（服务器控制） |
| 容量限制 | 单个约 4KB | 取决于服务器资源 |
| 网络开销 | 每次请求都携带 | 仅携带 SessionID |
| 生命周期 | 受过期时间控制 | 受超时设置或主动失效控制 |
两者常配合使用：Session 依赖 Cookie 传递 SessionID，但 Session 本身才是状态的核心载体。值得注意的是，Session 并非绝对安全，如果攻击者窃取了 SessionID，即可冒充用户身份（会话劫持）。
常见问题与生命周期
-
Session 何时创建？ 通常在第一次调用
getSession()方法时创建。JSP 页面默认也会隐式创建 Session，若不需要应显式关闭。
