token：令牌，是用户身份的验证方式。

最简单的token组成:uid(用户唯一的身份标识)、time（当前时间的时间戳）、sign（签名）。

对Token认证的五点认识：

  1. 一个Token就是一些信息的集合；
  2. 在Token中包含足够多的信息，以便在后续请求中减少查询数据库的几率；
  3. 服务端需要对cookie和HTTP Authrorization Header进行Token信息的检查；
  4. 基于上一点，你可以用一套token认证代码来面对浏览器类客户端和非浏览器类客户端；
  5. 因为token是被签名的，所以我们可以认为一个可以解码认证通过的token是由我们系统发放的，其中带的信息是合法有效的；

session：会话，代表服务器与浏览器的一次会话过程，这个过程是连续的，也可以时断时续。

  1. cookie中存放着一个sessionID，请求时会发送这个ID；
  2. session因为请求（request对象）而产生；
  3. session是一个容器，可以存放会话过程中的任何对象；
  4. session的创建与使用总是在服务端，浏览器从来都没有得到过session对象；
  5. session是一种http存储机制，目的是为武装的http提供持久机制。

cookie：储存在用户本地终端上的数据，服务器生成，发送给浏览器，下次请求统一网站给服务器。

cookie与session区别：

  1. cookie数据存放在客户端上，session数据放在服务器上；
  2. cookie不是很安全，且保存数据有限；
  3. session一定时间内保存在服务器上,当访问增多，占用服务器性能。

session与token

作为身份认证，token安全行比session好；

Session 认证只是简单的把User 信息存储到Session 里，因为SID 的不可预测性，暂且认为是安全的。这是一种认证手段。 而Token ，如果指的是OAuth Token 或类似的机制的话，提供的是 认证 和 授权 ，认证是针对用户，授权是针对App 。其目的是让 某App有权利访问 某用户 的信息。

token与cookie

Cookie是不允许垮域访问的，但是token是支持的， 前提是传输的用户认证信息通过HTTP头传输；

token就是令牌，比如你授权（登录）一个程序时，他就是个依据，判断你是否已经授权该软件；cookie就是写在客户端的一个txt文件，里面包括你登录信息之类的，这样你下次在登录某个网站，就会自动调用cookie自动登录用户名；session和cookie差不多，只是session是写在服务器端的文件，也需要在客户端写入cookie文件，但是文件里是你的浏览器编号.Session的状态是存储在服务器端，客户端只有session id；而Token的状态是存储在客户端。