带你了解session和cookie作用原理区别和用法

Cookie概念

      在浏览某些 网站时,这些网站会把一些数据存在客户端,用于使用网站等跟踪用户,实现用户自定义功能.

是否设置过期时间:

      如果不设置 过期时间,则表示这个 Cookie生命周期为 浏览器会话期间 , 只要关闭浏览器,cookie就消失了.
      这个生命期为浏览会话期的cookie,就是会话Cookie;

存储:   
      一般保存在内存,不在硬盘;
      如果设置了过期时间, 浏览器会把cookie保存在硬盘上,关闭再打开浏览器, 这些cookie依然有效直到超过的设置过期时间;
      存储在硬盘上的Cookie可以在不同的浏览器进程间共享，比如两个IE窗口。
      而对于保存 在内存的Cookie，不同的浏览器有不同的处理方式。

原理:

     如果浏览器使用的是 cookie，那么所有的数据都保存在浏览器端，
     比如你登录以后，服务器设置了 cookie用户名(username),那么，当你再次请求服务器的时候，浏览器会将username一块发送给服务器，这些变量有一定的特殊标记。
     服务器会解释为 cookie变量。
     所以只要不关闭浏览器，那么 cookie变量便一直是有效的，所以能够保证长时间不掉线。
     如果你能够截获某个用户的 cookie变量，然后伪造一个数据包发送过去，那么服务器还是认为你是合法的。所以使用 cookie被攻击的可能性比较大。
     如果设置了的有效时间，那么它会将 cookie保存在客户端的硬盘上，下次再访问该网站的时候，浏览器先检查有没有 cookie，如果有的话，就读取该 cookie，然后发送给服务器。
     如果你在机器上面保存了某个论坛 cookie，有效期是一年，如果有人入侵你的机器，将你的 cookie拷走，然后放在他的浏览器的目录下面，那么他登录该网站的时候就是用你的的身份登录的。
     所以 cookie是可以伪造的。
     当然，伪造的时候需要主意，直接copy cookie文件到 cookie目录，浏览器是不认的，
     他有一个index.dat文件，存储了 cookie文件的建立时间，以及是否有修改，所以你必须先要有该网站的 cookie文件，并且要从保证时间上骗过浏览器，
     曾经在学校的vbb论坛上面做过试验，copy别人的 cookie登录，冒用了别人的名义发帖子，完全没有问题。
 
cookie 用法:

  setcookie("user","zy",time()+3600); 设置user为zy,一小时之后失效;  $_COOKIE['user'];     取回user值(名字)  setcookie("user","",time()-3600); 删除cookie,第二个参数为空,第三个时间设置为小于系统的当前时间即可.