首先session和cookie都是在请求服务器的时候，服务器做出相应的判断，记录相应的信息。在客户端进行下次访问的时候，可以预先判断浏览器是否有对服务器请求过。
cookie：在请求服务器时候。服务器会标记一些信息在客户端上，并做好记录，再下次访问的时候，服务器会根据cookie来判断所请求的客户端，根据cookie来看会所请求的信息。
cookie包括值，名字，过期时间和路径。路径和域构成作用范围，如果没有设置过期时间，在关闭页面的时候，cookie则会消失。
cookie的信息一般储存在客户端的浏览器上。
cookie因为存储在本地，可以对本地的cookie进行修改，所以并不安全。
session：当客户端向服务器发送访问请求时，服务器会生成一个session来表示请求用户的id，并通过session表示来返回响应，在浏览器第二次发送请求的时候，服务器会直接根据session来判断浏览器是否有请求过服务器。
session的数据保存在服务器上，当服务器储存的session的数据过多时，会影响服务器的性能。
session的数据因为储存在服务器上，所有相对比较安全。
来源：CSDN
作者：尼古拉斯王老五
链接：https://blog.csdn.net/youanzuozhaun/article/details/81635597