会话

对于客户的第一个请求，服务端会生成一个唯一的会话id，并通过响应把它返回到客户端。客户在以后的每一个请求中都发送这个会话id。当然具体怎么实现由程序员决定，完全可以只有登录用户才会分配会话，通过会话的属性来判定用户使用有某种权限。

会话操作

会话创建，撤销会话，会话属性操作：增加一个属性，删除一个属性，修改一个属性

客户端和服务端是怎么交换会话ID信息的？

1.最常用的是通过cookie携带这个会话id信息 2.在cookie被禁用的时候，使用URL+sessionid=123456的方式

如何删除会话

1.设置会话超时机制 2.或者是指定时间内没有收到请求就将这个会话撤销

授权与认证

授权和认证这两个词看起来差不多，实际上的还是有区别的。 用户如果没有经过认证，就无法得到授权。

四种基本类型的认证

1.基本认证 base64编码，不加密，通过浏览器弹出的账号和密码输入框。 2.摘要认证 3.客户证书 4.表单认证，也没有加密，但是可以通过HTTPS来提高安全性。