Session, Cookie & Token — Learning Bundle
Session、Cookie 与 Token（教学组合）
这组教学拆开三个相关但不同的机制。Session 保存服务器识别的连续状态；Cookie 是浏览器按规则管理和发送的状态；Token 则承载声明或权限。这个组合本身不是单个标准身份术语。
另一个例子
不透明的 Session ID 存在设置了 Secure、HttpOnly、SameSite 的 Cookie 中，并对应到服务器上的状态。
主要部分
- 01身份或输入
- 02策略或转换
- 03存储结果与审计证据
什么时候用
请按生命周期、传输方式和撤销方式选择机制。也要确认客户端可见范围。这个选择必须符合威胁模型。
什么时候不要用
没有威胁模型时，不要把长期 Bearer Token 放在浏览器脚本可以读取的存储空间。
代码里的名称
Set-Cookie / session store / JWT 上线前要检查
确认每个成员概念都有自己的名称与指南，并放在同一个场景中比较。用看得到的规则说明各成员何时适用、哪些组合合理。不可把整组说成单一正式模式，也不可说成能任意替换的做法。
预期结果：用 Session、Cookie 与 Token（教学组合） (Session, Cookie & Token — Learning Bundle) 比较其中不同的概念。说明各自边界，再判断哪些成员适用、哪些可以一起使用。 用户场景：不透明的 Session ID 存在设置了 Secure、HttpOnly、SameSite 的 Cookie 中，并对应到服务器上的状态。 要拆解的教学组合：Session、Cookie 与 Token（教学组合） (Session, Cookie & Token — Learning Bundle)。 正式成员指南：Web 会话 (Web Session)、HTTP Cookie (HTTP Cookie)、访问令牌 (Access Token) 这项比较的价值：请按生命周期、传输方式和撤销方式选择机制。也要确认客户端可见范围。这个选择必须符合威胁模型。 不可把整组当成单一模式的情况：没有威胁模型时，不要把长期 Bearer Token 放在浏览器脚本可以读取的存储空间。 比较要求：分别列出每个成员概念，说明各自的工作与边界。把所有成员放进同一个真实场景。指出哪些看得到的信号会决定采用、组合或排除每个成员。 决策质量：说明平台与证据的限制。指出哪些概念可以共存，也要标出错误类比、不安全替代，以及应改用其他概念的情况。 验收标准：读者能用一句话解释每个成员，在示例中看出差异，说明采用某个成员或合理组合的理由，并打开每个成员的正式指南。 证据与限制（证据边界）：这不是正式规范标准。不同来源使用的名称、范围和预期做法可能不同。 待确认：目标平台、决策场景、限制，以及采用、组合或排除成员所需的证据。
检查这份需求
请 AI 编程助手检查当前如何使用 Session、Cookie 与 Token（教学组合） (Session, Cookie & Token — Learning Bundle)。 定义：这组教学拆开三个相关但不同的机制。Session 保存服务器识别的连续状态；Cookie 是浏览器按规则管理和发送的状态；Token 则承载声明或权限。这个组合本身不是单个标准身份术语。 生产环境检查：确认每个成员概念都有自己的名称与指南，并放在同一个场景中比较。用看得到的规则说明各成员何时适用、哪些组合合理。不可把整组说成单一正式模式，也不可说成能任意替换的做法。 修改程序前，先列出看到的证据、缺口、严重程度，以及最小且安全的修正。