cookie與session

假如我們登錄百度，把百度的cookie暴漏給別人，那麼別人就可以通過cookie登錄你的賬號。(百度對應的cookie爲其中的BDUSS，自己玩去吧)
一般網站都會簡單的通過session與cookie一一對應來解決登錄問題，由於服務器並不知道你是誰，只能通過cookie查找session來識別，那麼你就可以幹掉cookie，留下孤獨的session,期望cookie的光顧，創建新的cookie，生成新的session，幹掉cookie，如此循環。無數同樣內容的session，一個活着的cookie…
結果就是服務器養不起這麼多的session啊！