01

60 秒回答模板

Session 是应用层维护登录态和会话状态的机制。HTTP 请求本身是无状态的，服务端不能天然知道两次请求是否来自同一个用户。用户登录成功后，服务端会生成一个高熵、不可预测的 session id，并把用户 id、权限、登录时间、过期时间等会话数据保存到服务端存储中。然后通过 Set-Cookie 把 session id 返回给浏览器，浏览器后续访问同域名时自动在 Cookie 中携带这个 id。服务端收到请求后解析 Cookie，取出 session id，去内存、Redis、数据库或会话服务中查询数据；如果存在且未过期，就恢复用户上下文；如果不存在、过期或校验失败，就要求重新登录。单机应用可以把 session 存在进程内存里，但分布式系统请求可能落到不同实例，所以常用 Redis 集中存储，或用粘性会话固定路由。Redis 方案便于共享、过期和统一失效；粘性会话改造小但节点故障和扩缩容风险更高。安全上要防 session id 泄露、固定攻击、劫持和 CSRF，常见措施包括 HTTPS、HttpOnly、Secure、SameSite、登录后重新生成 session id、登出销毁会话、合理过期和敏感操作二次校验。

考点 无状态背景
主线 服务端状态
易错点 以为 Session 数据都存在浏览器里，忽略服务端会…
02

深入解析

01

无状态背景

HTTP 协议层面每个请求相对独立，服务端不会天然记住上一次请求的用户身份和状态。Session 的作用是在应用层建立一条连续会话，让登录态、权限、购物车、临时表单等状态能够跨请求延续。

02

服务端状态

Session 的完整会话数据通常保存在服务端，客户端只保存一个用于索引的 session id。这个 id 必须随机、高熵、不可预测，不能直接用用户 id、手机号或自增数字，否则容易被猜测和伪造。

03

Cookie 传递

Web 场景最常见的传递方式是 Cookie。服务端通过 Set-Cookie 下发 session id，浏览器后续请求自动带上 Cookie。服务端解析 Cookie 后去会话存储查询数据，进而恢复用户上下文。

04

存储选择

单机服务可以使用本地内存保存 Session，但分布式环境中请求可能打到不同机器，本地内存会导致登录态丢失。生产系统常用 Redis 等集中式存储，利用共享访问和 TTL 能力管理会话生命周期。

05

过期续期

Session 通常有空闲过期和绝对过期。空闲过期是长时间无请求后失效，滚动续期会在用户活跃时刷新 TTL；绝对过期是即使持续活跃也必须重新认证。二者配合使用，既能减少频繁登录，又能控制长期会话泄露风险。

06

安全防护

Session 安全重点在于保护 session id。要使用 HTTPS 传输，Cookie 设置 HttpOnly 降低脚本读取风险，设置 Secure 限制加密传输，设置 SameSite 降低 CSRF 风险，登录后重新生成 id 防固定攻击，登出时销毁会话。

07

与 Token 对比

Session 主要是服务端有状态，客户端保存 id；JWT 或 token 常把声明签名后放在客户端，服务端验证签名即可。Session 更容易强制失效和即时更新权限，JWT 更适合跨服务和无状态校验，但吊销和权限变更更复杂。

03

易错点

  • 以为 Session 数据都存在浏览器里，忽略服务端会话存储。
  • 以为有 Session 就不需要 Cookie，混淆了传递载体和会话机制。
  • 把用户 id 直接当 session id，导致可猜测和可伪造风险。
  • 分布式环境仍使用本地内存 Session，导致请求换实例后登录态丢失。
  • 只设置 HttpOnly 就认为安全，忽略 HTTPS、Secure、SameSite 和 CSRF 防护。
04

面试官追问

Session 和 Cookie 是什么关系？

Cookie 是浏览器保存并自动携带数据的机制，Session 是服务端保存会话状态的机制。常见模式是 Cookie 里只放 session id，服务端用它查完整会话。

如果浏览器禁用 Cookie，Session 还能用吗？

技术上可以把 session id 放在 URL、表单隐藏字段或请求头里，但 URL 方案容易泄露和进入日志，安全性较差，Web 登录态通常仍优先依赖 Cookie。

为什么登录成功后要重新生成 session id？

这是为了防 Session 固定攻击。如果攻击者提前让用户使用一个已知 id，登录后继续复用会让攻击者可能拿到有效会话。重新生成可以切断这个路径。

Redis 存 Session 有哪些风险？

主要是 Redis 可用性、容量、淘汰策略、网络延迟和大对象问题。需要合理 TTL、高可用部署、内存控制，并避免把过大的业务对象塞进会话。

Session 和 JWT 怎么选？

需要强制登出、权限即时变更、集中管控时 Session 更直接；需要跨服务无状态校验时 JWT 更常见，但要额外设计刷新、吊销和权限变更策略。