Cookie
cookie 是一個非常具體的東西，指的就是瀏覽器里面能永久存儲的一種數據，僅僅是瀏覽器實現的一種數據存儲功能。
cookie由服務器生成，發送給瀏覽器，瀏覽器把cookie以kv形式保存到某個目錄下的文本文件內，下一次請求同一網站時會把該cookie發送給服務器。由於cookie是存在客戶端上的，所以瀏覽器加入了一些限制確保cookie不會被惡意使用，同時不會占據太多磁盤空間，所以每個域的cookie數量是有限的。
Session
session 從字面上講，就是會話。這個就類似於你和一個人交談，你怎么知道當前和你交談的是張三而不是李四呢？對方肯定有某種特征（長相等）表明他就是張三。
session 也是類似的道理，服務器要知道當前發請求給自己的是誰。為了做這種區分，服務器就要給每個客戶端分配不同的“身份標識”，然后客戶端每次向服務器發請求的時候，都帶上這個“身份標識”，服務器就知道這個請求來自於誰了。至於客戶端怎么保存這個“身份標識”，可以有很多種方式，對於瀏覽器客戶端，大家都默認采用 cookie 的方式。
服務器使用session把用戶的信息臨時保存在了服務器上，用戶離開網站后session會被銷毀。這種用戶信息存儲方式相對cookie來說更安全，可是session有一個缺陷：如果web服務器做了負載均衡，那么下一個操作請求到了另一台服務器的時候session會丟失。
Token
瀏覽器第一次訪問服務器，根據傳過來的唯一標識userId，服務端會通過一些算法，如常用的HMAC-SHA256算法，然后加一個密鑰，生成一個token，然后通過BASE64編碼一下之后將這個token發送給客戶端；客戶端將token保存起來，下次請求時，帶着token，服務器收到請求后，然后會用相同的算法和密鑰去驗證token，如果通過，執行業務操作，不通過，返回不通過信息；
區別：
方案 A ：我發給你一張身份證，但只是一張寫着身份證號碼的紙片。你每次來辦事，我去后台（錢包）查一下你的 id 是不是有效。 （我錢包丟了就查找不了了）
方案 B ：我發給你一張加密算法（1+1 就是算法）的身份證，以后你只要出示這張卡片，我就按照加密算法（1+1 就是算法）就知道你一定是誰。 （算法是不會丟掉的） session 與 token 就這么個差別。兩者都是通過cookie 或者header 傳送。
參考：https://www.cnblogs.com/moyand/p/9047978.html
https://www.cnblogs.com/xiaozhang2014/p/7750200.html