上网时，你有没有好奇过：为什么登录一次微信、淘宝，后续打开不用重复输入密码？为什么有些网站关掉再打开，依然保持登录状态？其实这背后，全靠Cookie、Session、Token这“三驾马车”在默默发力——它们都是Web身份认证的核心工具，却各有专攻，用错场景不仅麻烦，还可能埋下安全隐患。今天就用大白话，把这三者讲透，新手也能轻松分清。
先给大家一个通俗类比：Web身份认证，就像你去小区办事，门卫需要确认你是“自己人”。Cookie是门卫给你的一张纸条，写着你的身份信息；Session是门卫的登记本，记录着你的来访信息；Token是门卫给你的一张临时通行证，凭证就能通行。三者目的一致，但用法和场景天差地别。
一、Cookie：最“轻便”的身份纸条（客户端存储）
Cookie是最基础、最常用的认证方式，本质是服务器发给浏览器的一小段文本信息，存储在用户自己的电脑上。当你第一次登录网站，服务器验证账号密码后，会生成一段包含身份标识的Cookie，发送给浏览器，浏览器会自动保存。后续你再访问这个网站，浏览器会自动带上这段Cookie，服务器一看就知道“是你，不用再登录了”。
它的优点是轻便、不占用服务器资源，适合记住登录状态、保存偏好设置（比如网页主题、语言）；缺点是安全性较低，容易被篡改，而且存储容量有限（一般不超过4KB），不能存储敏感信息。适用场景：普通网站的记住登录、购物车临时存储、个性化设置。
二、Session：最“靠谱”的门卫登记本（服务器存储）
Session解决了Cookie安全性差的问题，它的核心是“身份信息存服务器，客户端只存一个标识”。你登录网站时，服务器验证通过后，会在自己的内存或数据库里创建一个Session（登记本），记录你的身份信息、登录时间等，再生成一个唯一的Session ID，通过Cookie发给浏览器。后续浏览器访问时，只需要带上Session ID，服务器通过ID找到对应的Session，就能确认你的身份。
它的优点是安全性高，敏感信息不暴露在客户端，可存储更多数据；缺点是占用服务器资源，当用户量过大时，服务器压力会增加，而且不适合跨域名、跨服务器场景（比如分布式系统）。适用场景：需要高安全性的网站，比如网银、后台管理系统、社交平台核心功能。
三、Token：最“灵活”的临时通行证（无状态认证）
Token是近几年最流行的认证方式，尤其适合移动端和分布式系统，它的核心是“无状态”——服务器不需要存储Token信息，只需要验证Token的有效性即可。你登录时，服务器验证账号密码后，会生成一段加密的Token（包含身份信息和有效期），返回给客户端（浏览器、APP），客户端自行保存（比如存在本地存储里）。后续请求时，客户端带上Token，服务器通过解密Token，就能确认身份。
它的优点是灵活、不占用服务器资源，支持跨域名、跨服务器，适合移动端APP、前后端分离项目、分布式系统；缺点是一旦Token泄露，他人可冒用身份（需设置短期有效期规避），而且不能主动注销（需配合其他机制）。适用场景：移动端APP、前后端分离项目、API接口认证、分布式网站。
最后总结一句：Cookie轻量但不安全，适合简单登录记忆；Session安全但耗资源，适合高安全场景；Token灵活无状态，适合移动端和分布式系统。三者没有好坏之分，找对场景、合理搭配，才能既保证用户体验，又守住Web安全底线，别再用错啦！
