Cookie存于客户端，Session存于服务器；前者通过HTTP头传输，后者依赖Cookie传递ID；Cookie安全性较低但减轻服务端压力，Session更安全但需管理共享与内存占用。
在Java后端开发中，Cookie和Session都是用来实现用户状态保持的机制，但它们在存储位置、安全性、生命周期和使用方式上有明显区别。
存储位置不同
Cookie 是保存在客户端浏览器中的小型数据文件。每次HTTP请求时，浏览器会自动将对应域名的Cookie携带发送到服务器。
Session 是保存在服务器端的数据结构（如内存、数据库或Redis），每个用户会话对应一个唯一的Session ID，而这个ID通常通过Cookie传递给客户端。
安全性对比
由于 Cookie 存在客户端，容易被篡改或窃取，尤其未加密的情况下存在安全风险。可以通过设置HttpOnly、Secure、SameSite等属性增强安全性。
Session 数据本身存在服务器上，客户端只持有Session ID，相对更安全。只要Session ID不泄露，数据就不易被非法访问。
生命周期管理
- Cookie 可以设置过期时间，可以是会话级别（关闭浏览器失效）或持久化存储（指定有效期）。
- Session 依赖于服务器配置，一般在用户一段时间无操作后由服务器自动销毁。也可以手动调用red">session.invalidate()清除。
性能与扩展性
大量使用 Session 会占用服务器内存，在高并发场景下可能影响性能。如果应用部署在多个服务器上，还需借助Redis等工具做Session共享。
Cookie 减轻了服务器存储压力，但每次请求都会增加HTTP头数据量，不适合存储大量信息。
基本上就这些。简单来说：Cookie是“客户保管的小纸条”，Session是“服务器记的笔记”，两者配合使用最常见——用Cookie存Session ID，靠它找到对应的服务器端会话数据。
