1.安全性
cookie容易被cookie攻击
如果cookie被禁用了怎么办？---- 我们就用headers都可以传{key,value}
cookie中有个JSESSIONID：可以找到session
2.关联性
一个用户一个session，不同服务器是不同的session
后台服务器会根据前台cookie的jsessionid来获取session
每台服务器都有不同session（针对同一个用户而言）
3.不可用性
放到tomcat上运行，一个tomcat最多支持500，但是我们用户超过一千怎么办。我们就要配置两个tomcat来启动。
session和cookie都是会话跟踪技术，session实现依赖于cookie一个jsessionid的内容，cookie是服务端技术，cookie是浏览器客户端技术，一般登录系统放到session中，购物车等信息方法用cookie
cookie和session都是处理http超文本协议的无状态问题，解决页面之间不共享信息的问题，
二者区别在于 session在处理中文方面比cookie更方便，session可以存储对象，cookie不能。
cookie的值是存在浏览器网址栏里的相对不安全，session值则是存在服务器里，操作相对安全一些
cookie只有String，session是Object。cookie有大小4k，session没有限制
