session 和 cookie 有什么区别？

说起 cookie 和 session 的区别，面试场上绝对是常青藤系列的问题。每次讲完这个问题，我脑子里都会自动跳出一个画面：一位候选人滔滔不绝，面试官一脸平静，其实内心早就打分了，“这哥们儿知道 HTTP 无状态不？”

先说结论：cookie 是一种客户端机制，session 是一种服务端机制，两者常常组合使用来实现用户登录态。

咱就举个栗子，登录某个网站时，服务器生成了一份用户信息保存在 session 中，然后返回一个 session_id 作为识别码放进 cookie 返给浏览器。之后浏览器每次访问请求都会自动带上这个 cookie，服务器通过 session_id 找回之前那份 session，于是你就“登录着”了。

不过你要是把这个 session_id 给复制出来发给别人，那你俩就可以共享这个“身份”，这也就是“会话劫持”的源头之一。所以别再跟我说“cookie 不安全，session 安全”了，session 要是配上不安全的 cookie，一样能玩完。

再细一点，其实 cookie 本质上是个 HTTP 头，服务器可以设置多个：

Set-Cookie: token=abc123; Path=/; HttpOnly; Secure

这东西储存在浏览器端，有大小限制（一般 4KB），而且每次请求都要自动带上。你说你网站上的图片、脚本全都跟主域名一样，这 cookie 每次都带上是不是白费流量？还有性能？

而 session 呢，依赖服务端存储，默认是内存、Redis、数据库等等。问题也很现实：如果你是分布式部署，session 保存在一台机器上，那下一次请求落到另一台机器上，session 不见了！为了解决这个，大家要么搞 session 共享（Redis），要么直接上 JWT 或 Token，干掉 session。一个坑填完了另一个又来了😵

来个更直观的例子，我曾经遇到个线上问题，用户反馈“登录不稳定”。一查，果然某次请求落在另一台机器上没取到 session，直接返回登录页。那套架构没做 session 同步，结果自己给自己挖坑。后来我们换成了 JWT + Redis，一下就稳了，虽然每次都要解析 token，但至少全局一致，服务端无状态，扩展性友好，性能也还行。

说起 JWT，其实它干掉的就是传统 session 的一整套体系。客户端存储 token，每次请求带上（通常放在 Authorization 头里），服务端只需验证签名和 payload，判断用户身份就行了。好处是服务端不用维护 session 状态，坏处嘛……token 泄露也是完蛋，所以得加密、得短有效期、得支持黑名单，一堆安全策略得跟上。

还有一个坑，很多人以为 cookie 设置了 HttpOnly 就绝对安全了，其实也不一定。你服务器要是允许某些跨域请求，还带着 cookie，那 CORS 设置得不对，照样能被拿走 cookie。而且你要设置 SameSite 属性防跨站，结果某些老浏览器还不支持，好家伙，又得写兼容逻辑。

Python里要实现个 session，其实 flask 就很典型：

from flask import Flask, session, redirect, url_for, request

app = Flask(__name__)
app.secret_key = 'you-will-never-guess'# session 的加密钥匙

@app.route('/login', methods=['POST'])
deflogin():
    session['user'] = request.form['username']
return redirect(url_for('index'))

@app.route('/')
defindex():
if'user'in session:
returnf"欢迎你，{session['user']}！"
return'请登录'

这里 session 的背后是一个 cookie，默认名叫 session，值是 Flask 签名加密后的 session 数据。所以 session 看起来像是服务端的，其实也可以做成客户端存储，就看你怎么玩。

对了，还有不少初学者会问：“那 token 和 cookie 能不能一起用？”当然可以。比如你把 token 放 cookie 里存，再通过前端请求头带上，这不就两手抓两手硬吗？但你要防范 CSRF，记得用 SameSite 和 double-submit token，那可都是必修课。

所以总结一句：cookie 和 session 不只是“客户端 vs 服务端”这么简单，它们背后是一整套状态管理、安全设计、分布式架构、性能优化的权衡组合题。

你以为你只是回答了个基础面试题，实际上面试官早已默默打了个“后端架构水位”分数 😎

所以，我更想问你一句，你现在还在用 session 吗？会不会其实你早已经在用 JWT 了只是没意识到？或者你正在给 session 做集群同步的时候，其实已经绕了一大圈？💥

最后，我为大家打造了一份deepseek的入门到精通教程，完全免费：https://www.songshuhezi.com/deepseek

对编程、职场感兴趣的同学，大家可以联系我微信：golang404，拉你进入“程序员交流群”。

虎哥作为一名老码农，整理了全网最全《python高级架构师资料合集》。总量高达650GB，全部免费领取