cookie是網(wǎng)站保存在本地的信息，可以通過(guò)瀏覽器清除cookie來(lái)清除
session可以理解為在服務(wù)器的cookie，不會(huì)隨用戶清除一般數(shù)據(jù)而消失，session失效一般為三種情況：
第一種是會(huì)話結(jié)束
第二種是服務(wù)器設(shè)置了session的失效時(shí)間
第三種為用戶清除了特征數(shù)據(jù)，如保存在cookie中的sessionID，導(dǎo)致服務(wù)器認(rèn)為這是一個(gè)新用戶，分配了一個(gè)新的session，從而導(dǎo)致了原session失效
總而言之，cookie是存放在用戶本地的，session是存放在服務(wù)器的，所以cookie可以節(jié)省服務(wù)器資源，但是安全性不如session，session更加安全，但是會(huì)占用服務(wù)器資源

這兩者，區(qū)別和聯(lián)系其實(shí)也挺深?yuàn)W的，總是了解一些皮毛，每次都得上網(wǎng)查，今天寫下來(lái)，每隔段時(shí)間就看看，加深記憶。
Session是由應(yīng)用服務(wù)器維持的一個(gè)服務(wù)器端的存儲(chǔ)空間，用戶在連接服務(wù)器時(shí)，會(huì)由服務(wù)器生成一個(gè)唯一的SessionID,用該SessionID 為標(biāo)識(shí)符來(lái)存取服務(wù)器端的Session存儲(chǔ)空間。而SessionID這一數(shù)據(jù)則是保存到客戶端，用Cookie保存的，用戶提交頁(yè)面時(shí)，會(huì)將這一 SessionID提交到服務(wù)器端，來(lái)存取Session數(shù)據(jù)。這一過(guò)程，是不用開(kāi)發(fā)人員干預(yù)的。所以一旦客戶端禁用Cookie，那么Session也會(huì)失效。

服務(wù)器也可以通過(guò)URL重寫的方式來(lái)傳遞SessionID的值，因此不是完全依賴Cookie。如果客戶端Cookie禁用，則服務(wù)器可以自動(dòng)通過(guò)重寫URL的方式來(lái)保存Session的值，并且這個(gè)過(guò)程對(duì)程序員透明。

可以試一下，即使不寫Cookie，在使用request.getCookies();取出的Cookie數(shù)組的長(zhǎng)度也是1，而這個(gè)Cookie的名字就是JSESSIONID，還有一個(gè)很長(zhǎng)的二進(jìn)制的字符串，是SessionID的值。

大家都知道，http是無(wú)狀態(tài)的協(xié)議，客戶每次讀取web頁(yè)面時(shí)，服務(wù)器都打開(kāi)新的會(huì)話，而且服務(wù)器也不會(huì)自動(dòng)維護(hù)客戶的上下文信息，那么要怎么才能實(shí)現(xiàn)網(wǎng)上商店中的購(gòu)物車呢，session就是一種保存上下文信息的機(jī)制，它是針對(duì)每一個(gè)用戶的，變量的值保存在服務(wù)器端，通過(guò)SessionID來(lái)區(qū)分不同的客戶,session是以cookie或URL重寫為基礎(chǔ)的，默認(rèn)使用cookie來(lái)實(shí)現(xiàn)，系統(tǒng)會(huì)創(chuàng)造一個(gè)名為JSESSIONID的輸出cookie，叫做session cookie,以區(qū)別persistent cookies,也就是通常所說(shuō)的cookie,注意session cookie是存儲(chǔ)于瀏覽器內(nèi)存中的，并不是寫到硬盤上的，這也就是剛才看到的JSESSIONID，通常情是看不到JSESSIONID的，但是當(dāng)把瀏覽器的cookie禁止后，web服務(wù)器會(huì)采用URL重寫的方式傳遞Sessionid，就可以在地址欄看到sessionid=KWJHUG6JJM65HS2K6之類的字符串。

明白了原理，就可以很容易的分辨出persistent cookies和session cookie的區(qū)別了，網(wǎng)上那些關(guān)于兩者安全性的討論也就一目了然了，session cookie針對(duì)某一次會(huì)話而言，會(huì)話結(jié)束session cookie也就隨著消失了，而persistent cookie只是存在于客戶端硬盤上的一段文本（通常是加密的），而且可能會(huì)遭到cookie欺騙以及針對(duì)cookie的跨站腳本攻擊，自然不如session cookie安全了。

通常session cookie是不能跨窗口使用的，新開(kāi)了一個(gè)瀏覽器窗口進(jìn)入相同頁(yè)面時(shí)，系統(tǒng)會(huì)賦予一個(gè)新的sessionid，這樣信息共享的目的就達(dá)不到了，此時(shí)可以先把sessionid保存在persistent cookie中，然后在新窗口中讀出來(lái)，就可以得到上一個(gè)窗口SessionID了，這樣通過(guò)session cookie和persistent cookie的結(jié)合就實(shí)現(xiàn)了跨窗口的session tracking（會(huì)話跟蹤）。

在一些web開(kāi)發(fā)的書中，往往只是簡(jiǎn)單的把Session和cookie作為兩種并列的http傳送信息的方式，session cookies位于服務(wù)器端，persistent cookie位于客戶端，可是session又是以cookie為基礎(chǔ)的，明白的兩者之間的聯(lián)系和區(qū)別，就不難選擇合適的技術(shù)來(lái)開(kāi)發(fā)web service了。

　　session與cookie的區(qū)別：
　　1: session的內(nèi)容存在文件里的話,文件在哪兒?
　　答: 由 session.save_path = "D:/tmp",
　　如果不指定, 默認(rèn)放在 C:/windows/temp, Linux下默認(rèn)在 "/tmp"目錄
　　2: cookie和session的關(guān)系
　　答:cookie可以用來(lái)存儲(chǔ) session_id
　　tangram_guid_1357433851419 思路: 如果cookie被瀏覽器禁用,又怎么辦?
　　3: session.use_cookies = 1
　　這個(gè)選項(xiàng)是告訴服務(wù)器: 用cookie存儲(chǔ)session_id
　　session.use_only_cookies = 0 ,是否只用cookie來(lái)傳session_id
　　session.use_trans_sid = 1 // 設(shè)置地址欄session_id
　　4: cookie與session的關(guān)系
　　答:cookie用來(lái)存儲(chǔ)和傳遞session_id
　　如果禁用了cookie,可不可以用session?
　　答:可以, 其次,我們可以通過(guò)javascript再檢測(cè)瀏覽器是否支持cookie,并提示用戶打開(kāi)cookie
　　5:session的默認(rèn)生命周期是多久?
　　答:關(guān)閉瀏覽器就失效 原因:因?yàn)閟ession_id存在于cookie,而默認(rèn)情況,cookie關(guān)閉瀏覽器即失敗.
　　6: 如何設(shè)置session生命周期為30分鐘呢?
　　答:session.cookie_lifetime = 1800 php.ini來(lái)設(shè)置
　　7:http://localhost/0415/set.php , 設(shè)置session,
　　請(qǐng)問(wèn),該session值在哪些路徑下生效??
　　答: 傳session_id用的cookie在哪生效,session就在哪兒生效
　　7.5:傳session_id的cookie又在哪兒生效呢?
　　答: 默認(rèn)是在'/'目錄下生效
　　區(qū)別: cookie默認(rèn)在設(shè)置的目錄下生效,而session默認(rèn)在/目錄下生效
　　8: 如果設(shè)置傳session_id的cookie的有效路徑呢?
　　答:session.cookie_path = /, 這兒可以設(shè)置