什么是Token？与session和cookie相比，使用场景有什么区别？
Cookie和Session的目的是知道我们是通过HTTP协议还是HTTPS协议访问网站的。HTTP协议本身是无状态的(即服务器无法分辨哪些请求来自同一个客户)。业务层会涉及到客户端和服务器端的交互(同一网站下的多个页面之间可以共享数据)。此时，服务器必须维护会话状态，以认证用户的身份。
由于HTTP的无状态特性，如果要保持客户端和服务器端的会话，就需要其他机制来实现，于是Cookie和Session应运而生。
通常，会话和Cookie一起使用。
上面提到的保持会话的会话和Cookie机制Token是什么意思？会出现一个问题:客户端浏览器只需要保存自己的SessionID，而服务器需要保存所有用户的会话信息，这对服务器来说成本很高，而且不使用服务器的扩展(比如服务器集群化时如何同步存储会话就是个问题)！
于是有人想，如果会话信息由客户端保管，无法伪造，这个问题不就解决了吗？然后是令牌机制。
令牌，俗称“令牌”，由以下部分组成:
令牌机制下的认证过程实际上与Cookie机制非常相似，主要有以下过程:
1.用户登录进行身份认证，认证成功后，服务器生成令牌并返回给客户端。
2.客户端收到令牌后，保存在客户端(可以保存在Cookie、LocalStorage、SessionStorage中)；
3.当客户端再次请求服务器时，将令牌作为请求头放入头中；
4.服务器接收请求头中的令牌，并根据已建立的规则再次对用户参数进行签名。如果两个签名一致，则认为成功，否则数据篡改请求失败。
(生成签名示例图)
(验证签名示例图)
token和Cookie+Session Cookie的区别其实就是充当了一个Token，只是“有状态”；Token token是无状态的，更有利于分布式部署。
会话和cookie在说Token之前，我们先简单说一下什么是会话和cookie。
Token但是这里会有一个问题。服务器保存所有用户的会话信息会花费很多。如果是在分布式架构中，就需要考虑会话的* * *共享问题，需要额外的设计和开发，比如将会话中的信息保存到Redis进行* * *共享；所以出于这个原因，有人考虑这些信息是否可以被客户端保存，是否可以保存在任何地方，并保证其安全性，于是就有了Token。
Token是服务器生成的字符串，可以看作是客户端发出请求的令牌。
基于令牌的认证过程的总体流程如下:
总之，希望我的回答能帮到你！我会继续分享我对Java开发、架构设计、程序员职业发展等方面的看法，希望得到大家的关注。
Token，顾名思义，就是令牌、证书和密钥。只有这把钥匙你才能开门。令牌通常由服务器生成。例如，在web系统中，当用户登录时，在服务器验证用户名和密码已通过后，会生成一个令牌，还会生成一个refreshToken和一个过期时间。然后将refreshToken和Token返回给客户端。客户端将保存令牌。所有后续请求都将携带此令牌。服务器将判断当前令牌是否存在或已经过期。如果令牌不存在或过期，请求将被拒绝。令牌过期怎么办？用refreshToken刷新时间就行了。当然，这里可能还有其他方案。例如，只生成一个令牌，每次请求它时都会刷新到期时间。如果过期时间长时间不刷新，令牌将过期。
Session是回复，是服务器的一个操作。当您第一次访问一个网站时，服务器将生成一个会话，会话id与之对应。这个会话存储在内存中，您可以将信息写入这个会话，例如当前登录用户的信息。Sessionid会返回给客户端，客户端一般用cookie保存。当然，这个cookie不需要人工编写。以tomcat容器为例。当后端调用HttpServletRequest对象的getSession方法时，tomcat内部会生成一个JSESSONID(Tomcat会话ID的名称)。此jsessonid将随此请求返回给客户端。回应标题信息
这个jessionid将被写入cookie。然后jessionid会通过cookie传递给服务器。
这里很清楚，会话的数据是存储在内存中的。这就是问题所在。如果我们的服务是分布式的，有多台机器，可能我们第一次登录的时候，把用户的信息存储在session里，但是后面的请求去了机器B，机器B无法获取用户的session。另外，会话存储在内存中，服务器重启时会话丢失，这是他的缺点。现在有一些技术，比如会话共享，iphash，会话持久化，也可以解决上述问题。
Cookie是浏览器的一种策略。如上所述，sessionid存储在cookie中。我们知道http协议是无状态的，cookie就是用来解决这个问题的。Cookie可以用来保存服务器返回的一些用户信息，比如上面提到的token和sessionid。每个请求都会携带这些cookie。服务器可以通过从请求头获取cookie中的信息来识别这个请求的来源，这样http就变成有状态的了。
以下是一些关于cookie的注意事项。
1，cookie存储在客户端，所以不安全。人类可以清除它。
2.cookie有过期时间设置。如果未设置过期时间，则意味着此cookie是当前浏览器的会话时间。当浏览器关闭时，cookie存在。如果有过期时间，cookie会存储在硬盘上，浏览器关闭时不会影响cookie。下次打开浏览器时，cookie仍然存在。
3.cookie大小限制为4KB。
这个问题网上有很多答案。我相信我都读过，但我不认为我理解他们。所以我不会在网上抄袭。我就用我自己的话，尽量通俗一点，直奔主题。
Cookie和session其实是同一个认证过程，相辅相成。会话保存在服务器中，cookie保存在客户机中。最常见的方式是客户端的cookie只存储一个sessionID，session id是一个随机数，没有规则，由服务器在客户端登录后随机产生。以后客户端每次访问网站都会带上这个由sessionID组成的cookie。服务器收到请求时，首先获取客户端的sessionID，然后查询它所代表的客户端(用户名、用户组、权限等。)从服务器内存中。
与token相比，这里的关键点是服务器必须保存sessionID以及ID所代表的客户端信息。这些内容可以存储在内存或数据库中(通常是内存数据库)。
另一方面，令牌允许服务器不保存任何登录信息。
token的流程是这样的。客户端登录后，服务器生成一堆客户端身份信息，包括用户名、用户组、权限、过期时间等等。另外，签信息。然后将身份信息和签名作为一个整体发送给客户端。这整件事被称为令牌。之后客户端负责保存令牌，服务器不保存。每次客户访问网站时，都要带上这个令牌。服务器收到请求后，将其分为身份信息和签名，然后验证签名。如果验证成功，则直接使用身份信息(用户名、用户组、权限等。).
可以看出，与cookie/session机制相比，在token机制中，服务器不需要保存用户的身份信息(用户名、用户组、权限等。)一点都不。这减轻了服务器的负担。
比方说，目前有1000万用户登录并访问不同的网页。如果使用cookie/session，那么10万用户的信息要同时记录在服务器内存(或内存数据库)中。每当客户端访问一个页面，服务器就从内存中查询他的登录信息。如果使用令牌，用户登录信息不会记录在服务器内存中。它只需要直接使用客户端收到请求后发送的登录身份信息。
可以说cookie/session就是服务器说客户端是谁。托肯就是客户所说的我。当然，token有签名机制。如果客户伪造身份，签名将不会通过。这个签名算法很简单，就是在客户端的身份信息中加入一个只有服务器知道的salt值(不能泄露)，然后进行md5哈希算法(这里只是简单易懂，实际细节稍微复杂一点)。
Cookie/session在单服务器单域名上相对简单，否则要考虑如何将客户端的会话保存或同步到多台服务器上。还要考虑一旦停机，内存中的这些信息是否会丢失。令牌因为服务器不保存用户身份，所以不存在这样的问题。这就是token的优势。
令牌因为服务器不存储用户身份信息，所以一切都依赖于原始签名。所以有被盗的风险。也就是说，一旦被盗，服务器可能就没有办法了，因为它只认可签名算法。还有会话机制，服务器可以随时把他踢出去(从内存中删除)，看谁不开心。因此，令牌高度依赖于到期时间。过期时间不能太长。短暂的过期可以降低被盗的风险。
除了以上，我个人认为，如果开发的系统足够小，倾向于使用cookie/session。如果系统有许多用户同时登录，集群服务器和单点登录需求，它倾向于使用令牌。
万维网令牌的发展历史，令牌，一个表示执行某些操作的权利的对象。
令牌主要用于身份验证，主要有以下几类:
Cookie主要是网站用来临时存储浏览器中的数据，包括浏览器缓存数据和服务器设置的一些数据，主要存储在浏览器中。
Session主要用于保存会话数据，一般存储在服务器端。同时，每个会话对使用一个sessionID，它存储在浏览器的cookie中。
传统的会话登录和认证主要通过会话和cookie来实现。随着分布式系统的快速发展，特别是微服务的应用，令牌和cookie的授权访问机制备受青睐。通常情况下，用户登录后，服务器生成访问令牌，浏览器存储令牌+cookie，每次请求资源时，都会在请求头中携带令牌进行服务器的授权访问。
令牌和会话都是网站会话维护和认证的解决方案。
如果都一样，为什么还有令牌？
从token后台开始，1。移动应用程序使服务器会话无效。
2.会话不能在分布式系统中共享。
所以session对于以上两种情况都是无效的，所以有了Token语句。
那么什么是token呢？什么令牌，令牌长什么样？先给大家一个直观的感受。
令牌:PC-3066014fa 0b 10792 e4a 762-23-20170531133947-4f 6496
说白了，token保存的是用户的信息(密码等敏感信息不能保存)。
令牌的组成:
客户id-用户代码-用户id-创建日期-rondem [6位数字]
USERCODE，RONDEM[6 bits]在MD5加密后成为上面的字符串。
令牌的请求流程
请求流程分析
1.前端用户向认证系统发送登录信息。
2.验证用户登录信息，判断用户是否存在。
3.如果用户存在，生成令牌信息(客户端ID-用户代码-用户ID-创建日期-Rondem [6位数])并存储在redis中。
4.将令牌返回到前端，并将其附加到标头。
验证令牌客户端
将令牌附加到标头。
计算机网络服务器
最后，总结一下
一般垂直架构项目使用Session没有问题，但是分布式项目或者移动终端考虑token。
会议
session的中文翻译是“会话”。当用户打开web应用程序时，会与web服务器生成一个会话。服务器使用session将用户的信息临时保存在服务器上，用户离开网站后session将被销毁。这种存储用户信息的方式比cookie更安全，但是session有一个缺陷:如果web服务器做了负载均衡，那么当下一个操作请求到达另一个服务器时，session就会丢失。
曲奇饼
Cookie是存储在本地终端中的数据。Cookies由服务器生成并发送给浏览器。浏览器将cookie以kv的形式保存在某个目录下的文本文件中，下次请求同一个网站时会将cookie发送给服务器。由于cookies存在于客户端，浏览器增加了一些限制，保证cookies不会被恶意使用，占用过多的磁盘空间，所以每个域的cookies数量是有限的。
cookie由:名称(key)、值(value)、有效域(domain)、路径(一般设置为全局:“”)、过期时间、安全标志(指定后，只有使用SSL连接时，cookie才会发送到服务器(https))。下面是js使用cookie的一个简单例子:
用户登录时生成的Cookie:
document . cookie = " id = "+result . data[' id ']+"；path =/；
document . cookie = " name = "+result . data[' name ']+"；path =/；
document . cookie = " avatar = "+result . data[' avatar ']+"；path =/；
使用cookie时，请进行以下分析:
var cookie = document.cookievar cookierar = cookie . split("；");var user _ info = { }；for(var I = 0；我& ltcookier er . length；i++) {
user _ info[cookier er[I].split(" = "[0]]= cookier[I]。split(" = "[1]；
}
$('#user_name ')。text(user _ info[' name '])；
$('#user_avatar ')。attr("src "，user _ info[' avatar '])；
$('#user_id ')。val(user _ info[' id '])；
代币
Token的意思是“令牌”，是验证用户身份的一种方式。最简单的token由uid(用户的唯一身份)、time(当前时间的时间戳)和sign(签名，由token+salt的前几个数字通过hash算法压缩成一定长度的十六进制字符串，可以防止恶意第三方拼接token请求服务器)。您还可以将不变的参数放入token中，以避免多次检查数据库。
cookie和会话的区别
1.cookie数据存储在客户端的浏览器中，会话数据存储在服务器中。
2.Cookies不太安全。还有人可以分析本地存储的cookie，欺骗cookie。
出于安全原因，应该使用会话。
3.会话将在服务器上保存一段时间。当访问增加时，它将占用服务器的性能。
考虑到降低服务器性能，应该使用COOKIE。
4.单个cookie保存的数据不能超过4K，许多浏览器限制一个站点最多保存20个cookie。
5、所以个人建议:
将登录信息等重要信息存储为会话。
如果需要保存，其他信息可以放在COOKIE中。
令牌和会话的区别
会话和oauth令牌之间没有矛盾。作为认证令牌，其安全性优于会话，因为每个请求都经过签名，可以防止拦截和重放攻击，而会话必须依靠链路层来保证通信安全。如上所述，如果您需要实现有状态会话，您仍然可以添加一个会话来保存服务器端的一些状态。
App通常使用restful api来处理服务器。Rest是无状态的，即app不需要像浏览器那样用cookie保存会话，用会话令牌标记自己就够了，会话/状态由api服务器的逻辑处理。如果你的后端不是无状态的rest api，那么你可能需要在app中保存会话。你可以在应用程序中嵌入webkit，并使用隐藏的浏览器来管理cookie会话。
会话是一种HTTP存储机制，旨在为无状态HTTP提供一种持久机制。所谓的会话认证，就是将用户信息存储在会话中。由于SID的不可预测性，暂时认为是安全的。这是一种认证手段。Token，如果是指OAuth令牌或者类似的机制，提供认证和授权，认证是给用户的，授权是给App的。它的目的是赋予应用程序访问用户信息的权利。这里的令牌是唯一的。不能转移到其他app，也不能转移到其他用户。转身说会话。Session只提供一个简单的认证，也就是拥有这个SID就意味着拥有这个用户的所有权限。这需要严格保密。这些数据只应保存在网站上，不应与其他网站或第三方应用程序共享。所以简单来说，如果你的用户数据可能需要共享给第三方，或者允许第三方调用API接口，就用Token。如果你一直只是自己的网站，自己的App，那你用什么都无所谓。
Token就是一个令牌，比如你授权(登录)一个程序，它是判断你是否授权了该软件的一个依据；Cookie是写在客户端的txt文件，里面包含了你的登录信息等等，这样你下次登录一个网站，就会自动调用cookie自动登录用户名；Session和cookie类似，只不过session是写在服务器端的文件，你也需要在客户端写一个cookie文件，但是文件中包含了你的浏览器号。会话的状态存储在服务器端，客户端只有会话id；；令牌的状态存储在客户端。
想要全面深入的掌握Token，首先需要了解这些:Token的概念、认证流程、实现思路、使用场景，以及Cookie、Session、Token的区别。
内容大纲令牌的定义是一种验证用户身份的方式，简称“令牌”。最简单的token由:uid(用户的唯一身份)、time(当前时间的时间戳)和sign(签名，由token+salt的前几个数字通过哈希算法压缩成一定长度的十六进制字符串，可以防止恶意第三方拼接token请求服务器)。您还可以将常量参数放入令牌中，以避免多次检查库。
认证过程中的每个请求都需要Token，Token，应该在HTTP的头发送，这样就保证了Http请求是无状态的。我们还设置了服务器属性Access-Control-Allow-Origin:*以使服务器能够接收来自所有域的请求。
需要注意的是，当ACAO头标有*时，不允许使用HTTP认证、客户端SSL证书、cookies等证书。
Token的实现思路当我们对程序中的信息进行认证，得到Token的时候，我们可以用这个Token做很多事情。我们甚至可以创建一个基于权限的令牌并发送给第三方应用，这些第三方应用可以获取我们的数据(当然，只是在我们允许的特定令牌中)。
Token的应用场景:Cookie和Session的区别
基于上述考虑，建议如下:
Session和Cookie相辅相成，一起使用。登录信息等重要信息存储为Session，其他信息如果需要保留也可以存储在Cookie中。
令牌和会话的区别
会话和令牌并不矛盾。作为一种认证，Token比Session更安全，因为Token发送的每个请求都是经过签名的，可以防止拦截和重放攻击。会话必须依靠链路层来确保通信安全。如上所述，如果需要实现有状态会话，可以通过添加会话的方式在服务器端保存一些状态。
App通常使用Restful API来处理服务器。Rest是无状态的，也就是App不需要像浏览器那样用Cookie保存会话，用会话令牌标记就够了。会话/状态由API服务器的逻辑处理。如果后端不是无状态的rest API，可能需要在App中保存会话，可以在App中嵌入webkit，用隐藏浏览器管理Cookie会话。
会话是一种HTTP存储机制，旨在为无状态HTTP提供一种持久机制。所谓的会话认证，就是将用户信息存储在会话中。由于SID的不可预测性，暂时认为是安全的，是一种认证手段。
Session只提供简单的身份验证，即拥有这个SID和用户的所有权限。这需要严格保密。这些数据只存储在用户网站上，不能与其他网站或第三方应用程序共享。所以简单来说，如果你的用户数据可能需要和第三方共享，或者允许第三方调用API接口，就用Token。如果只是自己的网站或者App应用，用什么都可以。
Token，指OAuth令牌或类似机制，提供认证和授权，认证是给用户的，授权是给App的。它的目的是赋予应用程序访问用户信息的权利。这里的令牌是唯一的，不能转让给其他应用程序或其他用户。
Token就是一个令牌，比如你授权(登录)一个程序，它是判断你是否授权了该软件的一个依据。Cookie是写在客户端的txt文件，记录了用户的访问、登录等信息。下次用户登录网站时，服务器会自动调用Cookie，并在收到请求时以用户名登录。
Session和Cookie类似，只不过Session是写在服务器端的文件，而Cookie文件需要写在客户端，但是文件中包含了用户的浏览器号。会话的状态存储在服务器端，客户端只有会话id，而令牌的状态存储在客户端。
以上是对Token、Session、Cookie的知识点介绍，以及更深入详细的讲解。感兴趣的童鞋可以查看我继续分享的BAT架构技术合集500+，回复架构即可获得。
什么是Token？Token是一个令牌、一个证书和一个密钥。Web领域认证的关键是认证！！据说验证需要了解Web领域的发展历史。
2.随着人们需求的变化，比如网购系统，需要登录的网站，这时候就需要交互了。当服务器收到请求时，它应该根据您是否登录以及您是谁来响应您。这时候，问题来了。您如何知道每次是谁在请求呢？这样就产生了一个会话id，它是一个随机的字符串。当所有人都登录后，服务器会返回一个。
3.这样每个人只需要保存自己的会话id，服务器需要保存每个人的会话id！！！如果有成千上万的人访问服务器，对服务器来说是一笔巨大的开销，严重限制了服务器的可扩展性。比如机器A和机器B组成一个服务器集群，那么机器A被访问，会话标识符在机器A上，如果转移到机器B上，就不能访问了。也许你会说，那抄袭呢？机器A移动到机器B，有人说标识符统一放在一台机器上，但是如果这台机器挂了怎么办，那体验就。
4.这时有人认为用户保存了自己的身份，也就是Token，访问的时候带上这个Token。这个令牌是用户id+签名。验证时，服务器只需要服务器知道的相同算法和密钥。如果结果与令牌中的签名相同，则可以证明是登录用户。
这样，服务器不保存会话id，只生成一个令牌。访问时，只要判断令牌，令牌也是有效的，所以需要刷新Token token。
令牌、cookie和会话有什么区别？Token主要用于Web领域的认证，最常用的功能是Web API:
cookie就是Cookies，是服务器产生的数据，永久存储在浏览器中。kv的形式，你可以打开你的浏览器(这里以win10 edge为例)，点击上面三个点的按钮，点击更多工具，然后点击开发者工具，再点击网络。此时，选择内容的文档，然后刷新页面以查找cookies。
Session是一个会话标识符，服务器使用它来判断用户正在与谁进行会话。服务器产生的随机数保存在服务器里，用户也要保存。虽然可以实现会话的* * *功能，但是限制了服务器的扩展能力。同时，当服务器由两台以上机器组成时，会导致两台以上机器保存的会话的同步问题，导致用户体验不佳。
令牌和会话最大的区别是令牌服务器不需要保存，通过签名等技术实现。因为会话是一个随机数，服务器需要保存它。