首先 Cookie 和 Session 的最大区别是，Cookie 是保存在客户端，与域名相绑定，比如与 www.tonywang.io 绑定的 Cookie 不能被 api.tonywang.io 访问，反之亦然。
而 Session 则是保存在服务器端，每个 session 代表一个用户访问，从用户打开浏览器访问页面开始到用户关闭当前页面结束。
相较于保存在客户端的 cookie，Session 保存在服务器端，安全性更高。
两者主要区别是：
- Cookie 包含用户信息，保存在客户端，Session 保存在服务器端。
- Cookie 不依赖于 Session，而 Session 依赖于 Cookie。
- Cookie 的过期时间根据设置而定，Session 在用户关闭浏览器时失效。
- Cookie 最大为 4KB，而 Session 则无限制
- Cookie 没有一个类似 unsetcookie() 的函数摧毁掉相关信息，而 Session 则有 Session_destroy().
更多：https://www.guru99.com/difference-between-cookie-session.html