Cookie 与 Session：Web 用户状态管理的双刃剑

HTTP 协议本身是无状态的，这意味着服务器无法天然识别请求是否来自同一用户。为了解决这个问题，Web 开发中引入了 Cookie 和 Session 机制来维持用户状态。理解它们的原理、区别及安全风险，是构建安全 Web 应用的基础。

Cookie（Web Cookie）本质上是服务器发送到浏览器并保存在本地的一小块数据。当浏览器再次向同一服务器发起请求时，会自动携带这些数据。它主要用于告知服务端两个请求是否来自同一浏览器，例如保持登录状态、记录用户偏好等。

从技术角度看，Cookie 是存储在客户端的。如果它是持久性的，通常以文件或二进制格式（如 SQLite）存在特定目录下，直接查看可能会看到乱码，因此建议通过浏览器开发者工具查看。

有了 Cookie，网站无需每次登录都输入账号密码，也能识别用户身份（如 VIP、普通会员或游客），因为用户数据已存储在 Cookie 中。

如果没有设置 expires 属性，Cookie 默认为会话 Cookie，随浏览器关闭而销毁。

Cookie 通过 Set-Cookie 头进行配置，基本结构如下：

Set-Cookie: <name>=<value>; expires=<date>; path=/; domain=.example.com; secure; HttpOnly

关键属性说明：

注意：名称或值包含特殊字符时需进行 URL 编码，属性间用分号和空格分隔。

由于 Cookie 存储在客户端，存在被篡改或窃取的潜在风险。如果写入的是用户名、密码等私密数据，一旦泄露后果严重。因此，敏感数据不应直接存入 Cookie，这也是引入 Session 的原因。

虽然 Cookie 能标识用户，但数据在客户端不安全。Session（会话）则是服务器端用来跟踪用户交互期间状态的机制。由于 HTTP 无状态，服务器需要通过 Session 记住用户信息。

Session 由服务器为每个用户创建临时对象，存储用户身份验证和会话状态等敏感信息。