後端開發中 Session 與 Cookie 的核心差異與應用場景

核心對比

典型應用場景

Session：伺服器端狀態管理

• 用戶登入狀態 (用戶 ID、權限、購物車)。
• 防止 CSRF 的 Token 儲存。
• 多步驟表單暫存資料 (Wizard)。
• 分散式系統共享 Session (Redis Cluster)。

Cookie：客戶端持久化/識別

• 記住我：加密儲存用戶標識 (非明文密碼)，自動登入。
• 追蹤/分析：_ga, session_id (Google Analytics 等)。
• 個人化偏好：語言、主題、最近瀏覽 (非敏感)。
• 負載均衡親和性：JSESSIONID 或 SERVERID。

最佳實踐原則

1. 敏感資訊絕不放 Cookie (密碼、Token、個資)。
2. Session ID 必須高熵亂數，設定 HttpOnly, Secure, SameSite=Strict/Lax。
3. Session 過期策略：閒置超時 + 絕對超時。
4. 登出時伺服器端銷毀 Session + 客戶端刪除 Cookie。
5. 分散式環境使用外部共享儲存 (Redis/Memcached/DB)，避免 Sticky Session。