目录
一、Cookie 与 Session 核心区别：客户端与服务端的分工博弈
1.1 存储位置完全不同
1.2 安全级别差异巨大
1.3 容量与数量限制不同
1.4 存储扩展性不同
二、Session 完整工作原理：看透会话追踪的底层流程
2.1 完整执行流程
三、特殊场景深度解析：客户端禁用 Cookie，Session 还能用吗？
四、核心代码实战：Cookie 与 Session 读写演示
4.1 Cookie 操作实战代码
4.2 Session 会话实战代码
4.3 URL重写兼容禁用Cookie场景
五、全文核心考点总结（面试必背）
六、文末小结
在 Web 开发的世界里，HTTP 协议是无状态协议。每一次浏览器请求服务器，都是一次全新的独立交互，服务器默认无法识别客户端身份、无法记录用户的访问状态。
为了解决 Web 无状态的痛点，实现用户登录保持、页面状态记忆、身份持续识别，Cookie 与 Session 应运而生。二者搭配组成了 Java Web 最核心的会话追踪体系，是登录认证、权限保持、单点登录的底层基石。
很多开发者只会无脑使用 Session 存登录态、Cookie 存本地信息，却不懂二者的底层工作机制、安全差异、存储限制，更不知道浏览器禁用 Cookie 后 Session 如何兼容运行。本文从原理、流程、代码、区别、特殊场景全方位拆解，彻底吃透 Web 会话机制。
一、Cookie 与 Session 核心区别：客户端与服务端的分工博弈
Cookie 和 Session 都是为了保存用户会话状态，但二者的存储位置、安全级别、容量限制、扩展能力天差地别，是面试高频对比考点，也是业务选型的核心依据。
1.1 存储位置完全不同
Cookie：属于客户端技术，数据存储在浏览器本地，完全由浏览器管理维护。
Session：属于服务端技术，数据存储在服务器端（内存、Redis、数据库），由服务端程序统一管理。
1.2 安全级别差异巨大
Cookie 安全性低：数据暴露在浏览器端，用户可以随意查看、修改、伪造、删除，极易造成数据篡改、盗用风险，绝对不能存储密码、权限等敏感数据。
Session 安全性高：数据存放在服务端，客户端仅持有唯一 SessionId，无法直接触碰、修改服务端真实数据，安全性得到极致保障。
1.3 容量与数量限制不同
Cookie 存在严格限制：单个 Cookie 容量一般不超过 4KB，单个域名下 Cookie 数量有限，无法存储大量数据，仅适合存储简单标识、状态字段。
Session 无严格容量限制：依托服务器资源存储，可自由存储对象、集合、复杂数据，适配各类业务状态存储。
1.4 存储扩展性不同
Cookie 存储形式单一：只能固定存储在浏览器端，无其他存储介质可选。
Session 存储灵活多样：原生可存服务器内存，分布式场景可迁移至 Redis、数据库、缓存中间件，适配集群、微服务架构。
二、Session 完整工作原理：看透会话追踪的底层流程
很多人用了多年 Session，却不知道 Session 本质依赖 Cookie 传输 SessionId。Session 的整个工作流程，是一套「服务端生成、客户端携带、全程匹配」的闭环机制。
2.1 完整执行流程
第一步：首次请求，创建 Session
客户端第一次访问服务器时，服务器检测请求无 SessionId，自动创建全新 Session 对象，并生成唯一全局唯一的 SessionId。
第二步：返回 SessionId 存入 Cookie
服务器将生成的 SessionId 以 Cookie 的形式响应给客户端，浏览器自动保存该 Cookie。
第三步：后续请求自动携带身份
客户端后续每一次请求服务器，浏览器都会自动携带存有 SessionId 的 Cookie。
第四步：服务端匹配会话，识别用户
服务器根据请求携带的 SessionId，精准匹配服务端存储的 Session 对象，从而识别用户身份、读取用户会话数据，实现状态保持。
三、特殊场景深度解析：客户端禁用 Cookie，Session 还能用吗？
标准答案：可以正常使用。
Session 的核心依赖是SessionId 的传递，而非 Cookie 本身。Cookie 只是存储 SessionId 的默认载体，而非唯一载体。
当浏览器禁用 Cookie、无法存储 SessionId 时，服务器会自动开启URL 重写机制：将 SessionId 拼接在每一次请求的 URL 路径后面，通过地址栏参数传递 SessionId，依然可以精准匹配服务端会话，保证 Session 功能正常使用。
这也是早期 Java Web 项目兼容低版本浏览器、禁用 Cookie 场景的核心兼容方案。
四、核心代码实战：Cookie 与 Session 读写演示
通过原生 Servlet 代码，直观演示 Cookie 本地存储、Session 会话存储、数据获取全过程。
4.1 Cookie 操作实战代码
import javax.servlet.ServletException; import javax.servlet.annotation.WebServlet; import javax.servlet.http.Cookie; import javax.servlet.http.HttpServlet; import javax.servlet.http.HttpServletRequest; import javax.servlet.http.HttpServletResponse; import java.io.IOException; @WebServlet("/cookie") public class CookieServlet extends HttpServlet { @Override protected void doGet(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException { // 1. 创建Cookie对象，存储简单标识数据 Cookie cookie = new Cookie("username", "JavaStudy"); // 设置Cookie存活时间 30分钟 cookie.setMaxAge(60 * 30); // 响应Cookie给浏览器，浏览器自动保存 response.addCookie(cookie); // 2. 获取浏览器携带的所有Cookie Cookie[] cookies = request.getCookies(); if (cookies != null) { for (Cookie c : cookies) { System.out.println("Cookie名称：" + c.getName() + "，Cookie值：" + c.getValue()); } } response.getWriter().write("Cookie设置成功"); } }代码说明：Cookie 数据全部下发存储在浏览器，用户可自行查看修改，仅适合非敏感数据。
4.2 Session 会话实战代码
import javax.servlet.ServletException; import javax.servlet.annotation.WebServlet; import javax.servlet.http.HttpServlet; import javax.servlet.http.HttpServletRequest; import javax.servlet.http.HttpSession; import java.io.IOException; @WebServlet("/session") public class SessionServlet extends HttpServlet { @Override protected void doGet(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException { // 1. 获取Session对象，没有则自动创建 HttpSession session = request.getSession(); // 2. 存储用户会话数据（服务端存储，安全可靠） session.setAttribute("userId", "10001"); session.setAttribute("userName", "程序开发者"); // 3. 获取SessionId（客户端唯一身份标识） String sessionId = session.getId(); System.out.println("当前用户SessionId：" + sessionId); // 4. 获取会话数据 String userName = (String) session.getAttribute("userName"); response.getWriter().write("当前登录用户：" + userName); } }4.3 URL重写兼容禁用Cookie场景
// 自动拼接SessionId到URL，兼容浏览器禁用Cookie String url = response.encodeURL("/session"); response.getWriter().write("<a href='" + url + "'>刷新页面</a>");核心原理：encodeURL 方法会自动判断浏览器是否禁用 Cookie，禁用则自动拼接 ;jsessionid=xxx 到URL末尾，实现无Cookie依然维持会话。
五、全文核心考点总结（面试必背）
1. Cookie 和 Session 区别？
Cookie 存客户端、安全性低、有容量个数限制、仅浏览器存储；Session 存服务端、安全性高、存储灵活，可存内存/Redis/数据库。
2. Session 工作原理？
服务端创建 Session 生成 SessionId，通过 Cookie 下发客户端；客户端每次请求携带 SessionId，服务端根据 ID 匹配对应会话，完成用户身份识别。
3. 客户端禁用 Cookie，Session 还能用吗？
可以。通过 URL 重写技术，将 SessionId 拼接在请求地址中传递，绕过 Cookie 限制，保证 Session 正常工作。
六、文末小结
Cookie 是客户端的状态备忘录，轻便、受限、不安全；Session 是服务端的身份档案库，安全、可靠、可扩展。
二者相辅相成，弥补了 HTTP 无状态协议的短板，构建了 Web 会话追踪的完整体系。理解 Cookie 与 Session 的底层交互、适配原理、安全边界，不仅能轻松应对面试，更能彻底读懂登录认证、会话保持、分布式会话的底层设计思想。
