cookie存在于客户端，session存在于服务器端。
session：session即一次会话。比如，用户登录站点，浏览了几个页面。然后退出登录了。这就是一次会话。有些站点会在页面上显示：你已登录××分钟。就是用了session。怎么来实现session呢。每个session都会有一个sessionid。sessionid保存在cookie里面。服务器端会维护一个map，key是sessionId。value是session。这样当请求到达服务端，可以根据cookie里面的sessionid来判断是哪个会话。.net和java在实现session上细节可能不一样，但原理是一样的。