一. cookie
Cookie 技术产生源于 HTTP 协议在互联网上的急速发展。随着互联网时代的策马奔腾，带宽等限制不存在了，人们需要更复杂的互联网交互活动，就必须同服务器保持活动状态（简称：保活）。
Cookie 是在 HTTP 协议下，服务器或脚本可以维护客户工作站上信息的一种方式。Cookie 是由 Web 服务器保存在用户浏览器（客户端）上的小文本文件，它可以包含有关用户的信息。无论何时用户链接到服务器，Web 站点都可以访问 Cookie 信息.
Cookie的默认时效为Session，也就是说浏览器关闭，Cookie会和session一起失效，但是Cookie的有效时间是可以设置的。
Cookie有一个属性expires，设置其值为一个时间，那么当到达此时间后，此cookie失效。
//创建cookie实例。 HttpCookie cookie = new HttpCookie("id","666"); //设置cookie的过期时间，一小时后过期，自动清除文件 cookie.Expires = DateTime.Now.AddMonths(60); //将创建的cookie文件输入到浏览器端 Response.Cookies.Add(cookie); //读取cookie文件中存储的值 Response.Write(Request.Cookies["id"].Value);
//cookie的销毁，给他设置一个时间，他就被销毁了
cookie.Expires = DateTime.Now.AddMonths(-60);
1)、首先，客户端会发送一个http请求到服务器端。
2)、服务器端接受客户端请求后，发送一个http响应到客户端，这个响应头，其中就包含Set-Cookie头部，浏览器保存Cookie。
3)、浏览器第二次访问，将保存的cookie发给后台，后台识别并更新cookie，返回浏览器再次保存。
（1）Token的引入：Token是在客户端频繁向服务端请求数据，服务端频繁的去数据库查询用户名和密码并进行对比，判断用户名和密码正确与否，并作出相应提示，在这样的背景下，Token便应运而生。
（2）Token的定义：Token是服务端生成的一串字符串，以作客户端进行请求的一个令牌，当第一次登录后，服务器生成一个Token便将此Token返回给客户端，以后客户端只需带上这个Token前来请求数据即可，无需再次带上用户名和密码。
（3）使用Token的目的：Token的目的是为了减轻服务器的压力，减少频繁的查询数据库，使服务器更加健壮。
2. token的工作原理：
1.用户通过用户名和密码向服务端发送请求
2.服务端通过验证，生成一个token发送给客户端
3.客户端保存token，发送请求时带上token
4.服务器通过验证，返回数据
3.token的优势
1.无状态、可扩展
2.支持移动设备
3.跨程序调用
4.安全
1、cookie数据存放在客户的浏览器上，session数据放在服务器上。
2、cookie不是很安全，别人可以分析存放在本地的cookie并进行cookie欺骗,考虑到安全应当使用session。
3、session会在一定时间内保存在服务器上。当访问增多，会比较占用你服务器的性能,考虑到减轻服务器性能方面，应当使用cookie。
4、单个cookie保存的数据不能超过4K，很多浏览器都限制一个站点最多保存20个cookie。
5、所以个人建议：将登陆信息等重要信息存放为session；其他信息如果需要保留，可以放在cookie中
1.session和 token并不矛盾，作为身份认证token安全性比session好，因为每个请求都有签名还能防止监听以及重放攻击，而session就必须靠链路层来保障通讯安全了。
2.Session是一种HTTP存储机制，目的是为无状态的HTTP提供的持久机制。所谓Session认证只是简单的把User信息存储到Session里，因为SID的不可预测性，暂且认为是安全的。这是一种认证手段。
3.Token，如果指的是OAuth Token或类似的机制的话，提供的是 认证 和 授权 ，认证是针对用户，授权是针对App。其目的是让 某App有权利访问 某用户 的信息。这里的Token是唯一的。不可以转移到其它App上，也不可以转到其它 用户 上。
4.token就是令牌，比如你授权（登录）一个程序时，他就是个依据，判断你是否已经授权该软件；cookie就是写在客户端的一个txt文件，里面包括你登录信息之类的，这样你下次在登录某个网站，就会自动调用cookie自动登录用户名。
5.session和cookie差不多，只是session是写在服务器端的文件，也需要在客户端写入cookie文件，但是文件里是你的浏览器编号.Session的状态是存储在服务器端，客户端只有session id；而Token的状态是存储在客户端。
原文：https://www.cnblogs.com/rong0912/p/11981378.html