Cookie
什么是 Cookie
1、HTTP 是无状态的协议（对于事务处理没有记忆能力，每次客户端和服务端会话完成时，服务端不会保存任何会话信息）：每个请求都是完全独立的，服务端无法确认当前访问者的身份信息，无法分辨上一次的请求发送者和这一次的发送者是不是同一个人。所以服务器与浏览器为了进行会话跟踪（知道是谁在访问我），就必须主动的去维护一个状态，这个状态用于告知服务端前后两个请求是否来自同一浏览器。而这个状态需要通过 cookie去实现。
2、cookie 存储在客户端： cookie 是服务器发送到用户浏览器并保存在本地的一小块数据，它会在浏览器下次向同一服务器再发起请求时被携带并发送到服务器上。
当用户通过浏览器访问服务器，在浏览器收到服务器响应报文之后，根据报文头里的Set-Cookied特殊的指示，生成相应的Cookie，保存在客户端。在下一次请求时就会在header里面带上cookie的参数。服务器收到请求报文之后，从报文头获取到该用户的Cookie，从里面找到所需要的东西。
作用地方：
Cookie的根本作用就是在客户端存储用户访问网站的一些信息。典型的应用有：
1、记住密码，下次自动登录。
2、购物车功能。
3、记录用户浏览数据，进行商品（广告）推荐。
Session
当客户端访问服务器，服务器会为该客户端建立一个session，存在服务器。Session可以将用户正确登录后的信息和其他回话信息记录到服务器的内存中。
session是一种基于cookie的存储方式。说的通俗一点，session负责存储数据，cookie负责告诉后台，是哪一个数据。当建立一个新session的时候，向客户端下发一个session-id，让客户端保存session-id在cookie中，下一次发起请求的时候，将session-id发回后台，后台通过session-id，在很多session中查找到相应session-id对应的session进行操作。
session 是另一种记录服务器和客户端会话状态的机制
session 是基于 cookie 实现的，session 存储在服务器端，sessionId 会被存储到客户端的cookie 中
Cookie和session的区别
1、存放位置不同：
Cookie保存在客户端，Session保存在服务端。
2、性能使用程度不同：
session会在一定时间内保存在服务器上。当访问增多，会比较占用你服务器的性能,考虑到减轻服务器性能方面，应当使用cookie。
3、安全性（隐私策略）的不同
Cookie存储在浏览器中，对客户端是可见的，客户端的一些程序可能会窥探、复制以至修正Cookie中的内容。而Session存储在服务器上，对客户端是透明的，不存在敏感信息泄露的风险。
4、数据存储大小不同：
单个cookie保存的数据不能超过4K，很多浏览器都限制一个站点最多保存20个cookie。而session可存储数据远高于 Cookie，但是当访问量过多，会占用过多的服务器资源。
5、有效期上的不同
Cookie 可设置为长时间保持，比如我们经常使用的默认登录功能，Session 一般失效时间较短，客户端关闭（默认情况下）或者 Session 超时都会失效。（session的默认失效时间是30分钟）
6、存取值的类型不同Cookie 只支持存字符串数据，想要设置其他类型的数据，需要将其转换成字符串，Session 可以存任意数据类型。
Token
Token的定义：Token是服务端生成的一串字符串，以作客户端进行请求的一个令牌，当第一次登录后，服务器生成一个Token便将此Token返回给客户端，客户端在此登录访问服务器需要带上token，验证用户的登录账号和密码的合法性。
简单 token 的组成： uid(用户唯一的身份标识)、time(当前时间的时间戳)、sign（签名，token 的前几位以哈希算法压缩成的一定长度的十六进制字符串）
token 的身份验证流程：
1. 客户端使用用户名跟密码请求登录
2. 服务端收到请求，去验证用户名与密码
3. 验证成功后，服务端会签发一个 token 并把这个 token 发送给客户端
4. 客户端收到 token 以后，会把它存储起来，比如放在 cookie 里或者 localStorage 里
5. 客户端每次向服务端请求资源的时候需要带着服务端签发的 token
6. 服务端收到请求，然后去验证客户端请求里面带着的 token ，如果验证成功，就向客户端返回请求的数据
JSON Web Token（JWT）
什么是 JWT
JSON Web Token（简称 JWT）是目前最流行的跨域认证解决方案。
是一种认证授权机制。JWT 是为了在网络应用环境间传递声明而执行的一种基于 JSON 的开放标准（RFC 7519）。JWT 的声明一般被用来在身份提供者和服务提供者间传递被认证的用户身份信息，以便于从资源服务器获取资源。比如用在用户登录上。