1.cookie和session的登录验证
HTTP协议
要弄明白下面说的东西，就得先了解一下HTTP协议，繁琐的概念就不多赘述了，这里主要注意一点，_HTTP协议是无状态的_ ，什么叫无状态？我们从一个故事讲起：
你去一家水果店买水果，你看到他们的桃子很鲜美，于是你大赞了老板的桃子后并买了一斤。你回家尝了桃子后觉得非常好吃，你决定第二天继续购买。当你第二天开开心心的过来找老板，跟他说“你家的水果真的很好吃，再来一斤我昨天买的那个水果”，但是发现老板并不知道你昨天买过什么，于是你非常生气，跟老板说“我昨天还夸了很久你的水果，你怎么就不记得了？”一顿理论后你发现老板始终不记得你昨天干过什么事，最后你只好跟老板表明要买一斤桃子，交易后灰溜溜地离开。
这个故事中的老板就是无状态的，对他来说，他只知道某个人要买什么东西，给了多少钱，要买什么水果，要找多少钱，对于过程中的其它信息如是“谁”来买，他不会记得，他只会针对买卖本身进行处理。
HTTP为什么无状态？
- 首先什么是无状态？
无状态就意味着每个请求之间的不会直接地相互影响，对于每个请求，同样的请求参数就会得到同样的结果。
- 回到HTTP协议中：
最初的需求是请求HTML界面显示出静态网站，并不如现在那么复杂丰富，用户A点击某个网址浏览到的页面和用户B点击同样网址浏览到的页面是完全一模一样的，也就是服务器并不会对每个不同的人有特殊处理，服务器只对请求负责，不对发起请求的人负责。因此在HTTP设计中，每个请求都是独立的，每个请求中都包含了请求的所有数据，服务器只对请求和请求中携带的信息进行处理后返回特定结果。就如上面的那个水果店，老板只根据要买什么水果，水果多少钱，给了多少钱，进行处理，如果你跟他说你昨天与他交谈如何，他无动于衷，因为他完全不会记得这些事情，他完全不记得你曾来过。
HTTP如何保存登录状态？
前面说到，HTTP是无状态的，每个请求之间的不会直接地相互影响。
当我第一次调用用户名密码验证接口的时候，我需要输入账号、密码，服务器收到请求之后，就会根据账号去数据库取你的密码和你输入的密码进行比对，然后返回一个“密码正确”或“密码错误”。而问题在于当我第二次访问这个接口的时候，服务器依旧会执行他的职能：收到我发送的账号和密码，然后去数据库取数据进行比对后返回比对结果，对于服务器来说，每个请求不过是做了类似1+1是否等于2的判断然后返回结果而已。
我想要服务器能够记住我已经调用过一次登录接口并且以及成功了这个状态，应该怎么办？
我们可以很自然的想到，服务器不知道我们登录过的原因是因为没有记下来，要保持登录状态，只要让服务器记下来就可以了。我们可以在服务器专门设置一个存储，每次只要我验证账号和密码成功，就在这个存储里面存下“JabinGP登录成功”（这个JabinGP是用户名），这样我们服务器就记得JabinGP登录过了。
现在服务器已经知道JabinGP登录过了，但是这就够了吗？不够，因为HTTP请求并不会自动标明“这是JabinGP发起的请求”，所以我们还要做点工作让服务器能知道“这是JabinGP发起的请求”，然后服务器才好去存储下来的登录状态里面找“JabinGP登录成功”这个标志。怎么做？我们可以在调用请求的时候把自己的用户名加进请求的参数中，比如Get请求的URl参数、Post请求的请求Body中，这样服务器就可以根据我们的用户名判断我们有没有登录过了。
这样我们就初步的把登录状态保存了下来，其实这样的验证非常粗糙，所以基于这个思想，产生了下面的技术。
什么是Cookie？
有很多品牌的Cookie，比如说蓝罐，广州酒家......什么？哦哦不好意思我搞错了，这个才是Cookie：Cookie就是存储在客户端的一小段数据，它可以存在硬盘中（永久Cookie），也可以存在内存中（临时Cookie）
什么是Session？
Session是指服务器为某个会话开启的一段独特的存储空间（会话是指一个终端用户与交互系统进行通讯的过程，比如说我先登录，再查看我的邮箱内容，这个过程就是一个会话），一个Session用唯一的SessionId对应一段存储空间。
Cookie和Session是怎么用的？
首先从概念上，Cookie和Session都是用来存东西的，问题在于它们都用来存什么，以及它们都做了什么？
结合前面分析：
- Cookie的出现，代替了手动设置标识的步骤，因为我们可以把标识设置在Cookie里面，设置了Cookie后，Cookie就存在了，下次请求Cookie就会自动发送给服务器，这样我们就不用给每个请求都很麻烦地手动设置一个标识（比如前面分析中的用户名）。
- Session其实就是代替了在服务器存储状态的步骤，SessionId可以对应一段存储空间，这段空间对每个会话都是唯一的（比如我登录后，就产生了一个会话，也产生了一段存储空间，这段存储空间只被我当前的登录状态下的活动所使用，别人是用不到的），这样就可以确保每个登录状态都有对应的一小段存储空间来写入一些中间过程的数据。
Cookie和Session的关系？
看了上面的Cookie和Session的解释，以及Cookie和Session的使用，就可以发现它们两个其实完全不冲突，甚至这两者是需要相互配合的，因为Cookie是在客户端的存储，Session是在服务端的存储，Session的存储需要SessionId来一一对应，这样才不会出现xxx获得了JabinGP的登录状态然后用JabinGP的钱买东西这样的情况，SessionId则需要通过Cookie保存在用户客户端中，客户端通过保存在Cookie的SessionId来标识自己，表明“我就是JabinGP”。
SessionID被抓包截取怎么办？
服务端验证sessionID+ip的组合方式等等