cookie是保存在客户端的信息，它只能保存String类型的，没有session安全，如果客户端禁用了cookie就不能够使用了
Cookie是客户端技术，程序把每个用户的数据以cookie的形式写给用户各自的浏览器。当用户使用浏览器再去访问服务器中的web资源时，就会带着各自的数据去。这样，web资源处理的就是用户各自的数据了。
session是保存在服务器端的信息，session可以存储java对象，session比cookie更加安全，当访问增多，会比较占用服务器的性能
Session是服务器端技术，利用这个技术，服务器在运行时可以为每一个用户的浏览器创建一个其独享的session对象，由于session为用户浏览器独享，所以用户在访问服务器的web资源时，可以把各自的数据放在各自的session中，当用户再去访问服务器中的其它web资源时，其它web资源再从用户各自的session中取出数据为用户服务。Session是基于Cookie的 利用Cookie向浏览器回写JSessionID.
原文：http://www.cnblogs.com/LoganChen/p/6748238.html