cookie的工作原理
（1）浏览器端第一次发送请求到服务器端
（2）服务器端创建cookie，该cookie中包含用户的信息，然后将该cookie发送到浏览器端
（3）浏览器端再次访问服务器端时会携带服务器端创建的cookie
（4）服务器端通过cookie中携带的数据区分不同的用户
Session的工作原理
（1）浏览器端第一次发送请求到服务器端，服务器端创建一个Session，同时会创建一个特殊的cookie（name为JSESSIONID的固定值，value为session对象的ID），然后将该cookie发送至浏览器端
（2）浏览器端发送第N（N>1）次请求到服务器端,浏览器端访问服务器端时就会携带该name为JSESSIONID的cookie对象
（3）服务器端根据name为JSESSIONID的cookie的value(sessionId),去查询Session对象，从而区分不同用户。
name为JSESSIONID的cookie不存在（关闭或更换浏览器），返回1中重新去创建Session与特殊的cookie
name为JSESSIONID的cookie存在，根据value中的SessionId去寻找session对象
value为SessionId不存在（Session对象默认存活30分钟），返回1中重新去创建Session与特殊的cookie
value为SessionId存在，返回session对象
cookie和session区别
1.cookie数据保存在客户端，session数据保存在服务端
2.cookie不是很安全，别人可以分析存放在本地的cookie并进行cookie欺骗,如果主要考虑到安全应当使用session
3.session会在一定时间内保存在服务器上。当访问增多，会比较占用你服务器的性能，如果主要考虑到减轻服务器性能方面，应当使用cookie
所以：将登陆信息等重要信息存放为session;其他信息如果需要保留，可以放在cookie中
使session失效的方法
1.关闭tomcat 2.重启web应用 3.session时间到 4.无效的session
为什么说session 比cookie更安全？
session的sessionID是放在cookie里，要想功破session的话，得分两步：
第一要得到sessionID。攻破cookie后，你要得到sessionID,sessionID是要有人登录，或者启动session_start才会有，你不知道什么时候会有人登录。
第二取有效sessionID。sessionID是加密的，第二次session_start的时候，前一次的sessionID就没有用了，session过期时sessionid也会失效，想在短时间内功破加了密的 sessionID很难。session是针对某一次通信而言，会话结束session也就随着消失了。
token
token解决了会员cookie在不同服务器之间不可见的问题
