为什么不使用 Cookie 进行身份验证而不是会话？

Question

我想在用户会话之间保留用户身份验证（基本上默认情况下是“提醒我”）。

cookie 持续存在时会话过期：为什么我应该使用会话进行身份验证，然后使用另一个不同的 cookie 来“提醒我”？

我不能简单地存储一个带有令牌的 cookie 并将其用于身份验证和持久性吗？

Answer 1

简短的回答是因为 cookie 可以由用户更改，所以它不是很安全。持久性并不总是需要安全，但通常身份验证需要。