现在盛行的web事务系统，只需存在动态恳求，就绕不开用户办理的基础组件——会话办理，本文将论述几种常用的会话办理方法。
什么是会话办理
http短衔接的问题：无状况，恳求中没有用户信息，无法确定恳求建议方是谁，然后进行进一步的鉴权以及事务处理。
会话简略来说，就是指用户从登录到退出的这个时间窗口，以及发生在这个窗口内的一系列事务操作。
而办理会话的机制就是“会话办理”。
会话办理的方法
从web运用开发的发展过程中，大致出现了三种会话办理方法。
session-based 办理方法
完成
1）用户登录后，服务端会为该用户生成一个session目标，其间包括用户的登录凭据，该目标有一个唯一标识，称为sessionid。
2）服务端经过set-cookie，以cookie:sessionid=xxxx的形式将sessionid同步给客户端。
3）客户端在接下来的恳求中会依赖于cookie的机制，把sessionid带给服务端，这样服务端就能够经过该id获知恳求的是哪个用户，其登录凭据是否有用。
4）session会被设定有用期，例如2小时，在超出有用期之后，服务端就会销毁对应session目标。一般在设计时，服务端在session有用期内收到恳求后，会主动把session的有用期重新设置。
优缺陷
- 优点
1）安全，因为存到客户端的仅仅sessionid，而且其一般是无规则的，不好破解
2）完成简略
- 缺陷
1）用户在线数量多时，占用存储空间多
2）服务端节点多的时分，session信息有必要同享，需求相应的同步机制
3）多个运用要同享sessionid，需求做cookie跨域处理
cookie-based 办理方法
cookied-based 办理方法针对session-based存在的服务端存储和架构问题，推出了将凭据信息直接保存到客户端cookie的办理方法。
完成
1）用户登录后，服务端为用户生成登录凭据，并对该凭据进行签名和加密处理。签名是为了防止凭据被篡改，加密是为了在传输过程中，凭据细节被明文截获。凭据最简略的内容能够是uid。
2）服务端运用set-cookie将上述凭据设置到客户端，需求设置cookie有用期，例如2小时
3）客户端在接下来的恳求中会依赖于cookie的机制，把凭据带给服务端，服务端解密后，校验凭据是否有用，是否被篡改。承认凭据有用后，依据凭据内容取得恳求用户信息
优缺陷
- 优点
1）服务端不需求存储凭据，无状况
2）当服务端多节点时，只需确保运用相同的密钥，能够对凭据进行加解密，而且确保签名算法相同即可
- 缺陷
1）运用cookie保存，受cookie空间巨细约束
2）多个运用要同享sessionid，需求做cookie跨域处理
token-based 办理方法
由于cookie-based受cookie机制的约束，因而又提出了一种新的方法，token-based办理方法。
这种办理方法的完成，和cookie-based方法很像，差别是凭据存储的方法不是cookie，而是由客户端经过本地存储进行保存。
完成
1）用户登录后，服务端为用户生成登录凭据，并对该凭据进行签名和加密处理。签名是为了防止凭据被篡改，加密是为了在传输过程中，凭据细节被明文截获。凭据最简略的内容能够是uid。最终生成的就是token。
2）服务端将token填入回来内容，回来给客户端
3）客户端将token保存到本地存储中
4）客户端在接下来的恳求中会把token经过url参数或许header的方法带给服务端，服务端解密后，校验凭据是否有用，是否被篡改。承认凭据有用后，依据凭据内容取得恳求用户信息
优缺陷
- 优点
1）服务端，无需存储token，无状况
2）当服务端多节点时，只需确保运用相同的密钥，能够对凭据进行加解密，而且确保签名算法相同即可
3）不受制于cookie巨细约束
4）能够将token扩展为access_token refresh_token的双token机制，提供access_token主动改写机制
- 缺陷
1）相对于session-based办理方法，如果想在服务端侧强制约束用户拜访，需求添加额定的token过期机制，很类似于服务端存储session目标的机制。
总结
总的来说，token-based办理方法应该是当下最盛行的会话办理方法，在添加了token过期机制后，该办理方法能够应对大部分的事务场景。
