Cookie是客户端存储，安全性低，适合保存非敏感信息；02. Session是服务器端存储，更安全，适合保存敏感数据；03. 实际开发中应根据需求选择或结合使用两者以提升安全与体验。
在PHP开发中，会话管理是实现用户状态保持的重要手段。由于HTTP协议本身是无状态的，服务器无法自动识别多个请求是否来自同一个用户，因此需要借助 Session 和 Cookie 来解决这个问题。虽然它们都能用于保存用户数据，但使用方式和原理有本质区别。
什么是Cookie？
Cookie 是存储在用户浏览器中的小型文本文件，由服务器发送给客户端，并在后续请求中自动携带回服务器。PHP 中通过 setcookie() 函数设置 Cookie。
示例：
setcookie("username", "john_doe", time() + 3600); // 1小时后过期
echo $_COOKIE['username']; // 输出: john_doe
Cookies 可以长期保存数据（根据过期时间），但安全性较低，因为用户可以查看或修改内容，不适合存储敏感信息。
什么是Session？
Session 数据保存在服务器端（通常是文件或数据库），每个用户有一个唯一的会话 ID（通常通过 Cookie 存储这个 ID）。PHP 使用 session_start() 启动会话，并通过 $_SESSION 超全局数组操作数据。
立即学习“PHP免费学习笔记（深入）”；
示例：
session_start();
$_SESSION['user_id'] = 123;
echo $_SESSION['user_id'];
当用户关闭浏览器时，会话 ID 的 Cookie 通常会被清除，导致下次访问时无法找到原会话（除非设置了持久化 Session ID）。真正的 Session 数据在服务器上保留一段时间后由垃圾回收机制清理。
Session 与 Cookie 的主要区别
- 存储位置不同：Cookie 存在客户端浏览器；Session 数据存在服务器。
- 安全性不同：Session 更安全，因为数据不暴露给用户；Cookie 容易被篡改或窃取。
- 存储大小限制：Cookie 单个最多约4KB，且数量有限；Session 理论上只受服务器资源限制。
- 生命周期控制方式不同：Cookie 可设置长期有效；Session 默认依赖浏览器会话，关闭浏览器可能丢失（取决于配置）。
- 依赖关系：Session 通常依赖 Cookie 来传递 Session ID（如 PHPSESSID），但也可通过 URL 传递。
实际使用建议
登录状态、购物车等敏感或较大数据应使用 Session。用户偏好设置（如主题、语言）可使用 Cookie 实现“记住我”功能。若需长期自动登录，可结合 Cookie 加密存储令牌，再通过该令牌查找用户并重建 Session。
注意开启 Session 前不能有任何输出（包括空格或BOM头），否则会报错“headers already sent”。
基本上就这些，合理选择 Session 或 Cookie，能有效提升应用的安全性和用户体验。
