企业官网建设流程全解析

产生背景：

由于http协议是无状态的，客户端每次与服务端通信，都必须重新与服务端建立链接。这时存在一个问题，怎么证明两次请求的是同一个人呢？

cookie、token、session 就出现了，它们就可以解决客户端标识的问题，在扩大一点就是解决权限问题。它们就好比让每个客户端或者说登录用户有了自己的身份证，我们可以通过这个身份证确定发请求的是谁！

什么是cookie：

Cookie 是一种在客户端存储数据的技术，它是由服务器发送给客户端的小型文本文件，存储在客户端的浏览器中,大小限制大致在 4KB 左右。在客户端发送请求时，浏览器会自动将相应的 Cookie 信息发送给服务器，服务器通过读取 Cookie 信息，就可以判断该请求来自哪个客户端。Cookie 可以用于存储用户的登录状态、购物车信息等。

cookie生成的流程：

1. 客户端发送请求到服务端（比如登录请求）。
2. 服务端收到请求后生成一个 session 会话。
3. 服务端响应客户端，并在响应头中设置 Set-Cookie。Set-Cookie 里面包含了 sessionId，它的格式如下：Set-Cookie: value[; expires=date][; domain=domain][; path=path][; secure]。其中 sessionId 就是用来标识客户端的，类似于去饭店里面，服务员给你一个号牌，后续上菜通过这个号牌来判断上菜到哪里。
4. 客户端收到该请求后，如果服务器给了 Set-Cookie，那么下次浏览器就会在请求头中自动携带 cookie。
5. 客户端发送其它请求，自动携带了 cookie，cookie 中携带有用户信息等。
6. 服务端接收到请求，验证 cookie 信息，比如通过 sessionId 来判断是否存在会话，存在则正常响应。

cookie的主要特点：

1、cookie存储在客户端

2、cookie不可跨域，但是在如果设置了 domain，那么它们是可以在一级域名和二级域名之间共享的。

什么是session：

session 由服务端创建，当一个请求发送到服务端时，服务器会检索该请求里面有没有包含 sessionId 标识，如果包含了 sessionId，则代表服务端已经和客户端创建过 session，然后就通过这个 sessionId 去查找真正的 session，如果没找到，则为客户端创建一个新的 session，并生成一个新的 sessionId 与 session 对应，然后在响应的时候将 sessionId 给客户端，通常是存储在 cookie 中。如果在请求中找到了真正的 session，验证通过，正常处理该请求。

session生成的流程：

每一个客户端与服务端连接，服务端都会为该客户端创建一个 session，并将 session 的唯一标识 sessionId 通过设置 Set-Cookie 头的方式响应给客户端，客户端将 sessionId 存到 cookie 中。

通常情况下，cookie 和 session 都是结合着来用，当然你也可以单独只使用 cookie 或者单独只使用 session，这里我们就将 cookie 和 session 结合着来用。如下图，具体流程介绍看上面cookie流程即可。

与cookie的区别：

cookie 和 session，它们两者之间主要是通过 sessionId 关联起来的，所以总结出：sessionId 是 cookie 和 session 之间的桥梁。

session 是基于 cookie 实现的，它们两个主要有以下特点：

1. session 比 cookie 更加安全，因为它是存在服务端的，cookie 是存在客户端的。
2. cookie 只支持存储字符串数据，session 可以存储任意数据。
3. cookie 的有效期可以设置较长时间，session 有效期都比较短。
4. session 存储空间很大，cookie 有限制。

token是什么？

Token 是一种在客户端和服务端之间传递身份信息（uuid）的方式。当用户登录成功后，服务端会生成一个 Token，将其发送给客户端。客户端在后续的请求中，需要将 Token 携带在请求头或请求参数中。服务端通过验证 Token 的合法性，就可以确定该请求来自哪个用户，并且可以根据用户的权限进行相应的操作。Token 可以有效地避免了 Cookie 的一些安全问题，比如 CSRF 攻击。

通常适用于三方调用我们的API，需要携带用户身份。

token认证流程：

1. 客户端发起登录请求，比如用户输入用户名和密码后登录。
2. 服务端校验用户名和密码后，将用户 id 和一些其它信息进行加密，生成 token。
3. 服务端将 token 响应给客户端。
4. 客户端收到响应后将 token 存储下来。
5. 下一次发送请求后需要将 token 携带上，比如放在请求头中或者其它地方。
6. 服务端 token 后校验，校验通过则正常返回数据。

token比cookie的优势在于：

1、可以跨域处理

2、不会遭受会遭受 CSRF 攻击

三者比较：

补充：

1、客户端拿到token后，可以把token这串字符串，存储在cookie、localstrage、sessionstrage中的任意一个里面。一般会根据实际的业务来定，到底存在哪个里面。

sessionstrage：当前浏览器打开的标签页，如果关闭了标签页，存储的数据就没了

cookie：存储在当前浏览器里，默认是会话级的，关闭了标签页也就没了，但是可以设置国旗时间

localstrage：是一直存在浏览器里的，除非它被删除或者被覆盖，单个的最大存储5M，如果大于5M浏览器会提示出错