一、先厘清概念：Cookie 和 Token 不在同一维度

很多人把 Cookie 和 Token 放在一起比较，但其实它们不是同一层面的东西：

• Cookie 是一种存储和传输机制。 它是浏览器提供的能力：服务器通过 Set-Cookie 响应头把数据存到浏览器里之后浏览器每次请求同域地址时自动带上。它解决的是 "怎么把凭证带过去" 的问题。
• Token 是一种认证凭证。 比如 JWT，它本身是一段包含使用者身份信息的加密字符串。它解决的是 "怎么证明你是谁" 的问题。

两者不是对立关系。你可以把 Token 存在 Cookie 里传输，也可以存在 localStorage 里通过 HTTP Header 手动传。

二、Cookie 的底层机制全解析

Cookie 的本质：纯文本键值对

Cookie 在 HTTP 协议中的存在形式非常朴素——就是字符串。

服务端设置时

HTTP/ OKSet-Cookie: me=dark;Path=/，Max-Age=Set-Cookie: lang=zh-CN;Path=/，HttpOnlySet-Cookie: PHPSESSID=abc123;Path=/，HttpOnly;Secure

说到注意，

// PHPsetcookie + );setcookie + );// session_start 自动加一条 PHPSESSID

// Java Servletresponse.addCookie);response.addCookie);