什么是 cookie 和会话，它们是如何相互关联的？

让我们来看看这个：

Cookies 和 sessions 都是在浏览器发出的不同请求之间保留应用程序状态的两种方式。多亏了他们，例如，您不必每次在 StackOverflow 上请求页面时都登录。

饼干

Cookies 是一小段数据（最大 4KB 长），将数据保存在 key=value 对中：

name=value; name2=value2

这些由 JavaScript 或通过服务器使用 HTTP header 设置。

Cookie 有一个到期日期时间集，例如使用 HTTP 标头：

Set-Cookie: name2=value2; Expires=Wed, 19 Jun 2021 10:18:14 GMT

这将导致浏览器设置一个名为 name2 的 cookie，其值为 value2，该 cookie 将在大约 9 年后过期。

Cookie 被认为是高度不安全的，因为用户可以轻松地操纵其内容。这就是为什么您应该始终验证 cookie 数据的原因。不要假设你从 cookie 中得到的必然是你所期望的。

Cookies 通常用于保存登录状态，其中用户名和特殊哈希从浏览器发送，服务器根据数据库检查它们以批准访问。

Cookies 也经常用于会话创建。

会话

会话略有不同。每个用户都会获得一个会话 ID，该 ID 通过 cookie 或 GET 变量发送回服务器进行验证。

会话通常是短暂的，这使得它们非常适合保存应用程序之间的临时状态。一旦用户关闭浏览器，会话也会过期。

会话被认为比 cookie 更安全，因为变量本身保存在服务器上。以下是它的工作原理：

服务器打开一个会话（通过 HTTP 标头设置一个 cookie） 服务器设置一个会话变量。客户端更改页面 客户端发送所有 cookie 以及步骤 1 中的会话 ID。服务器从 cookie 中读取会话 ID。服务器匹配数据库（或内存等）列表中的会话 ID。服务器找到一个匹配项，读取现在在 $_SESSION 超全局上可用的变量。

如果 PHP 没有找到匹配项，它将启动一个新会话，并重复 1-7 的步骤。

您可以将敏感信息存储在会话中，因为它保存在服务器上，但请注意，如果用户通过不安全的 WiFi 登录，会话 ID 仍然可能被盗。 （攻击者可以嗅探cookie，并将其设置为自己的，他自己不会看到变量，但服务器会将攻击者识别为用户）。

这就是它的要点。您可以在这两个主题的 PHP 手册中了解更多信息。

---