1. 从健身房手环到数字身份：Cookie与Token的本质解析

在Web开发领域，身份认证就像进入健身房时的验证流程。想象你第一次去健身房时，前台可能给你两种不同的身份识别方式：一种是传统的手环（Cookie），另一种是直接盖在手臂上的荧光章（Token）。这两种机制在现代Web应用中同样存在，它们各具特色却又经常协同工作。

Cookie本质上是由服务器创建、浏览器存储的小型数据包，每次请求时浏览器都会自动将其附加到HTTP头部。就像健身房发放的手环，它最大的优势在于"自动佩戴"特性——你无需每次主动出示，工作人员（服务器）总能识别你的身份。但这也带来明显局限：手环只能在发卡健身房使用（同源策略），且容量有限（4KB大小限制）。

相比之下，Token更像加密的荧光印章，典型的JWT（JSON Web Token）包含三部分：头部（算法信息）、载荷（用户数据）和签名（防伪校验）。这种自包含的结构使得服务器无需维护会话状态，只需用密钥验证签名有效性即可。就像分店众多的健身房连锁体系，任何拥有验钞灯（密钥）的门店都能独立验证会员身份。

2. 技术实现深度对比

2.1 生成与存储机制

Cookie的生成流程：

1. 服务器通过Set-Cookie响应头创建

http复制Set-Cookie: session_id=abc123; Path=/; HttpOnly; Secure

2. 浏览器按指定参数（Domain/Path/Expires等）存储
3. 后续请求自动携带符合规则的Cookie

Token的典型生成（以JWT为例）：

javascript复制// 使用HMAC SHA256算法生成
const token = jwt.sign(
  { userId: 123, exp: Math.floor(Date.now() / 1000) + 3600 },
  'your-secret-key'
);

生成的Token形如：

code复制eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJ1c2VySWQiOjEyMywiZXhwIjoxNjMxNTI5NjAwfQ.4QzW5n7XvC4YjJw3K7Z8L9P0qR1S2T3U4V5W6X7Y8Z9