cookie 把数据存在浏览器里，用户看得见也改得了，每次请求会自动带上；session 的数据存在服务端，浏览器只留一个 session_id，通常也是靠 cookie 传回去。
cookie 能设长有效期，关了浏览器还在；session 默认关浏览器就断，能留多久看服务端的清理配置。
cookie 只能存很小的数据，别放密码之类的东西；session 存服务端，能放更多内容，也相对安全。
用户禁了 cookie，session_id 传不过去，session 也跟着失效。判断登录状态一般用 session，记住账号这类小标记用 cookie。