cookie和token是什么？有什么区别？

在当今数字化浪潮中，无论是网站登录、移动应用会话维持，还是微服务间的安全通信，身份验证都是不可或缺的基石。面对琳琅满目的认证方案，开发者与用户最常接触的便是两种凭证：存储在客户端的令牌与服务器下发的会话标识。它们看似功能相似，却在安全性、性能与适用场景上存在显著差异。理解这两者的本质与边界，不仅能帮助技术人员做出更合理的技术选型，也能让普通用户明白为何有时需要重新登录，有时却能在多设备间无缝切换。

一、cookie和token的基本定义与运行机制

要理解cookie和token的区别，首先需要明确它们各自在Web生态中的定位。cookie是服务器发送到用户浏览器并保存在本地的一小段数据，它会在浏览器下次向同一服务器发送请求时被携带并返回。而token通常指访问令牌，是一种代表用户身份或授权信息的字符串，由服务器签发，客户端在请求受保护资源时将其附加在请求头中。

1、cookie的工作流程

当用户首次访问网站并成功登录后，服务器会生成一个唯一的会话标识，并通过Set-Cookie响应头将其写入浏览器。此后，浏览器在每次请求该域名下的资源时，都会自动在请求头中带上这个cookie。服务器通过读取cookie中的会话ID，在服务端存储的会话表中查找对应的用户信息，从而完成身份识别。

2、token的工作流程

token机制则更为灵活。用户在登录成功后，服务器会生成一个包含用户标识、过期时间等信息的加密字符串，并返回给客户端。客户端需要手动将其存储在本地存储或内存中，并在每次请求时通过Authorization请求头主动携带该token。服务器无需保存会话状态，只需验证token的签名与时效性即可确认身份。

二、cookie和token在存储与传输上的关键差异

存储位置和传输方式的差异，决定了cookie和token在安全性与跨域支持上的表现截然不同。cookie由浏览器统一管理，遵循同源策略，而token则由应用逻辑控制，不受浏览器同源限制。

1、存储位置与生命周期

cookie只能存储在浏览器中，且其生命周期由Expires或Max-Age属性控制。关闭浏览器后，会话cookie即失效，但持久cookie可保存数天甚至数年。token则可以存储在浏览器本地存储、会话存储或移动端的安全硬件中，其有效期由服务器签发时设定，通常较短，如15分钟或2小时，过期后需要刷新。

2、跨域与移动端适配

cookie在跨域请求中需要额外配置CORS和withCredentials属性，且第三方cookie常被浏览器屏蔽。token则天然支持跨域，只要客户端将token附加在请求头中，服务器即可验证。对于原生移动应用，cookie难以直接使用，而token可以轻松集成。因此，在前后端分离或微服务架构中，token成为更受欢迎的选择。

三、cookie和token的安全性对比与风险防范

安全性是衡量认证机制优劣的核心指标。cookie和token各自面临不同的攻击面，了解这些风险有助于采取针对性的防护措施。

1、CSRF与XSS攻击的差异

cookie自动携带的特性使其容易遭受跨站请求伪造攻击。攻击者可在恶意网站上诱导用户发起请求，浏览器会自动附上目标站点的cookie，导致服务器误认为这是用户本人的操作。而token通常存储在自定义请求头中，攻击者无法自动附加，因此天然抵御CSRF。但token对XSS攻击更为敏感，若页面存在脚本漏洞，攻击者可直接窃取本地存储中的token。

2、如何提升两者的安全性

对于cookie，建议设置HttpOnly属性以防止脚本读取，同时使用Secure属性确保仅通过HTTPS传输，并设置SameSite属性限制跨站发送。对于token，应使用短有效期与刷新机制，降低泄露风险，同时避免将token存储在易受脚本攻击的localStorage中，优先考虑内存存储或安全Cookie。

四、cookie和token的适用场景与选型建议

没有绝对优劣的认证方式，只有是否适合当前场景。cookie在传统服务端渲染的网站中依然高效，而token则更适合现代API驱动的应用。

1、适合使用cookie的场景

如果网站采用服务端渲染，且所有页面与接口都位于同一域名下，cookie能提供无缝的会话管理。浏览器自动携带cookie，无需前端编写额外代码。此外，需要强制用户登录的政府或企业内部系统，cookie的会话固定机制也便于审计与注销。

2、适合使用token的场景

当构建前后端分离的单页应用、移动应用或提供开放API给第三方开发者时，token是更优选择。它支持无状态认证，服务器无需存储会话，便于水平扩展。同时，token可以携带权限范围，实现细粒度的授权控制。例如，JWT令牌常用于分布式微服务之间的身份传递。

综上所述，cookie与token是两种互补的身份认证技术。cookie依赖浏览器自动管理，适合同域场景，但需防范CSRF；token则灵活跨域，无状态且防CSRF，但需警惕XSS窃取。在实际开发中，许多系统甚至会将两者结合使用，如用HttpOnly Cookie存储刷新令牌，用内存中的token访问资源。理解它们的核心区别，有助于你根据业务需求做出明智决策，构建既安全又高效的认证体系。