cookie機制採用的是在客戶端保持狀態的方案，而session機制採用的是在服務器端保持狀態的方案。
Cookie的優缺點：
優點：極高的擴展性和可用性
通過良好的編程，控制保存在cookie中的session對象的大小。
通過加密和安全傳輸技術（SSL），減少cookie被破解的可能性。
只在cookie中存放不敏感數據，即使被盜也不會有重大損失。
控制cookie的生命期，使之不會永遠有效。偷盜者很可能拿到一個過期的cookie。
缺點：
Cookie數量和長度的限制。每個domain最多只能有20條cookie，每個cookie長度不能超過4KB，否則會被截掉。
安全性問題。如果cookie被人攔截了，那人就可以取得所有的session信息。即使加密也與事無補，因爲攔截者並不需要知道cookie的意義，他只要原樣轉發cookie就可以達到目的了。
有些狀態不可能保存在客戶端。例如，爲了防止重複提交表單，我們需要在服務器端保存一個計數器。如果我們把這個計數器保存在客戶端，那麼它起不到任何作用。
Session的優缺點：
優點
如果要在諸多Web頁間傳遞一個變量，那麼用Session變量要比通過QueryString傳遞變量可使問題簡化。
要使WEb站點具有用戶化，可以考慮使用Session變量。你的站點的每位訪問者都有用戶化的經驗，基於此，隨着LDAP和諸如MS Site
Server等的使用，已不必再將所有用戶化過程置入Session變量了，而這個用戶化是取決於用戶喜好的。
你可以在任何想要使用的時候直接使用session變量，而不必事先聲明它，這種方式接近於在VB中變量的使用。使用完畢後，也不必考慮將其釋放，因爲它將自動釋放。
缺點
Session變量和cookies是同一類型的。如果某用戶將瀏覽器設置爲不兼容任何cookie，那麼該用戶就無法使用這個Session變量！
當一個用戶訪問某頁面時，每個Session變量的運行環境便自動生成，這些Session變量可在用戶離開該頁面後仍保留20分鐘！（事實上，這些變量一直可保留至“timeout”。“timeout”的時間長短由Web服務器管理員設定。一些站點上的變量僅維持了3分鐘，一些則爲10分鐘，還有一些則保留至默認值20分鐘。）所以，如果在Session中置入了較大的對象（如ADO
recordsets，connections， 等等），那就有麻煩了！隨着站點訪問量的增大，服務器將會因此而無法正常運行！
因爲創建Session變量有很大的隨意性，可隨時調用，不需要開發者做精確地處理，所以，過度使用session變量將會導致代碼不可讀而且不好維護。
雖然“你可以在任何想要使用的時候直接使用session變量，而不必事先聲明它，這種方式接近於在VB中變量的使用。使用完畢後，也不必考慮將其釋放，因爲它將自動釋放”。但是，“誰”想到那兒呢？變量的含義是什麼？這些都變得不很清晰。
轉載於百度知道回答https://zhidao.baidu.com/question/557112227.html
