二者之间的联系与区别
联系：
二者都可以用来保存用户的信息， Session的使用要求用户浏览器必须支持Cookie， 如果浏览器不支持使用Cookie，或者设置为禁用Cookie，那么将不能使用Session。用户在进行访问时，服务器会通过查找session，将用户的session ID传给浏览器，而浏览器则将这个ID以cookie的形式保存在浏览器的内存中。也可以说cookie是session在浏览器中的标识。当然也可以以其他的方式保存。
区别：
●cookie是保存在浏览器的内存中，而session则是保存在服务器端。 ●session与cookie相比，当你登陆访问页面的时候，使用cookie可以自动登录，如果有人另外一个客户端同时登录。这个时候，服务器就会检查其session ID。如果已经有相同的session ID登录，就不会允许再登录。这样可以防止同一用户多次登录，保障公司的利益。 ●用户可以通过在浏览器设置不保存cookie，而当用户登录时，服务器会将session ID以密文的形式写在HTTP的响应报头，从而实现访问的上下连贯。 ●cookie放置在浏览器内存中，使用起来更加灵活方便，session会在一定时间内保存在服务器上。当访问增多，会比较占用你服务器的性能 ●SESSION是保存在服务端的；Cookie是保存在客户机器上的Session不可伪造；Cookie可以伪造！并且session不传递，因此，session比cookie更加的安全。
几个应当注意的问题：
●Cookie的过期和Session的超时有什么区别 会话的超时由服务器来维护，它不同于Cookie的失效日期。首先，会话一般基于驻留内存的cookie不是持续性的cookie，因而也就没有截至日期。即使截取到JSESSIONID cookie，并为它设定一个失效日期发送出去。浏览器会话和服务器会话也会截然不同。
●session cookie和session对象的生命周期是一样的吗 当用户关闭了浏览器虽然session cookie已经消失，但session对象仍然保存在服务器端
●是否只要关闭浏览器，session就消失了 程序一般都是在用户做log off的时候发个指令去删除session，然而浏览器从来不会主动在关闭之前通知服务器它将要被关闭，因此服务器根本不会有机会知道浏览器已经关闭。服务器会一直保留这个会话对象直到它处于非活动状态超过设定的间隔为止。 之所以会有这种错误的认识，是因为大部分session机制都使用会话cookie来保存session id，而关闭浏览器后这个session id就消失了，再次连接到服务器时也就无法找到原来的session。 如果服务器设置的cookie被保存到硬盘上，或者使用某种手段改写浏览器发出的HTTP请求报头，把原来的session id发送到服务器，则再次打开浏览器仍然能够找到原来的session。 恰恰是由于关闭浏览器不会导致session被删除，迫使服务器为session设置了一个失效时间，当距离客户上一次使用session的时间超过了这个失效时间时，服务器就可以认为客户端已经停止了活动，才会把session删除以节省存储空间。 由此我们可以得出如下结论： 关闭浏览器，只会是浏览器端内存里的session cookie消失，但不会使保存在服务器端的session对象消失，同样也不会使已经保存到硬盘上的持久化cookie消失。
●打开两个浏览器窗口访问应用程序会使用同一个session还是不同的session 通常session cookie是不能跨窗口使用的，当你新开了一个浏览器窗口进入相同页面时，系统会赋予你一个新的session id，这样我们信息共享的目的就达不到了。 此时我们可以先把session id保存在persistent cookie中(通过设置session的最大有效时间)，然后在新窗口中读出来，就可以得到上一个窗口的session id了，这样通过session cookie和persistent cookie的结合我们就可以实现了跨窗口的会话跟踪。（Session cookie 又叫 transient cookie，它被存储在临时的存储器中，浏览器关闭后不会保留； Persistent cookie 又叫 permenent cookie，它被存储在用户的硬件上，直到过期或这是用户自行删除）