Cookie 存在于浏览器中，随每个请求发送。安全标志很重要：httponly（阻止 JS 访问——防止 XSS 盗窃），secure（仅限 HTTPS），samesite（CSRF 保护）。
<?php
session_start(); // start/resume the session (sets a session-ID cookie) — before output
// store data on the SERVER (only the session ID is in the browser cookie)
$_SESSION["user_id"] = 42;
$_SESSION["username"] = "ann";
// read it on later requests (after session_start)
$userId = $_SESSION["user_id"] ?? null;
// clear/destroy
unset($_SESSION["user_id"]);
session_destroy();
会话将数据存储在服务器端；浏览器只持有会话 ID cookie，将用户链接到其服务器数据。这可保持敏感数据（如 user_id）不在客户端。session_start() 必须在任何输出之前运行。
Cookie → data stored in the BROWSER, sent each request, size-limited, user-visible
→ for non-sensitive prefs (theme), or the session ID itself
Session → data stored on the SERVER (DB/Redis/files), only the ID in a cookie
→ for sensitive/larger data (user identity, cart) — keep secrets server-side
✓ Use httponly + secure + samesite cookies (XSS & CSRF protection)
✓ Regenerate the session ID on login: session_regenerate_id(true) (prevents fixation)
✓ Don't store secrets in cookies; keep sensitive data in the SESSION (server-side)
✓ Use HTTPS so session cookies aren't intercepted
会话和 Cookie 是网页开发的基础——HTTP 是无状态的，因此它们是应用程序跨请求维护状态的方式（保持用户登录、记住购物车、存储首选项），使其对几乎任何交互式 PHP 应用程序至关重要。
理解两者的区别很重要：Cookie 将数据存储在浏览器中（随每个请求发送，适合存储非敏感偏好或会话 ID），而会话将数据存储在服务器上（浏览器中仅有会话 ID cookie）——将用户身份等敏感数据安全地保留在服务器端。
至关重要的是，这是一个对安全性敏感的领域：了解如何使用保护性 Cookie 标志（httponly 阻止 JavaScript 访问并防止基于 XSS 的盗窃，secure 用于仅限 HTTPS，samesite 用于 CSRF 保护），在登录时重新生成会话 ID（防止会话固定攻击），将密钥保留在 Cookie 之外（服务器端的会话），以及使用 HTTPS，是安全身份验证和状态管理的必要条件。
由于会话/Cookie 处理不当会导致严重漏洞（会话劫持、固定、XSS、CSRF），且维护用户状态几乎是通用要求，理解会话和 Cookie 的工作原理以及如何安全使用它们，对于任何构建具有用户账户或持久状态的应用程序的 PHP 开发人员来说，是重要的、与安全相关的知识。（Laravel 等框架默认情况下可以安全地处理大部分这些问题，但理解底层机制和安全考虑仍然很重要。）