Cookie和Session都是客戶端與服務器之間保持狀態的解決方案，具體來說，cookie機制採用的是在客戶端保持狀態的方案，而session機制採用的是在服務器端保持狀態的方案。
cookie
Cookie實際上是一小段的文本信息。客戶端請求服務器，如果服務器需要記錄該用戶狀態，就使用response向客戶端瀏覽器頒發一個Cookie，而客戶端瀏覽器會把Cookie保存起來。當瀏覽器再請求該網站時，瀏覽器把請求的網址連同該Cookie一同提交給服務器，服務器檢查該Cookie，以此來辨認用戶狀態。服務器還可以根據需要修改Cookie的內容。
session
同樣地，會話狀態也可以保存在服務器端。客戶端請求服務器，如果服務器記錄該用戶狀態，就獲取Session來保存狀態，這時，如果服務器已經爲此客戶端創建過session，服務器就按照sessionid把這個session檢索出來使用；如果客戶端請求不包含sessionid，則爲此客戶端創建一個session並且生成一個與此session相關聯的sessionid，並將這個sessionid在本次響應中返回給客戶端保存。保存這個sessionid的方式可以採用 cookie機制 ，這樣在交互過程中瀏覽器可以自動的按照規則把這個標識發揮給服務器；若瀏覽器禁用Cookie的話，可以通過 URL重寫機制 將sessionid傳回服務器。
區別
實現機制：Session的實現常常依賴於Cookie機制，通過Cookie機制回傳SessionID；
大小限制：Cookie有大小限制並且瀏覽器對每個站點也有cookie的個數限制，Session沒有大小限制，理論上只與服務器的內存大小有關；
安全性：Cookie存在安全隱患，通過攔截或本地文件找得到cookie後可以進行攻擊，而Session由於保存在服務器端，相對更加安全；