1.  cookie：是保存在客户端的。类似银行的存折，上面保存用户的存款信息，或者类似积分卡，达到6个印花可以对换一杯奶茶（不安全，是因为在客户端，容易被修改伪造）
2. session：是保存在服务器的。类似银行的银行卡，只有一个卡号，查看账户信息必须通过卡号到银行服务器查询。
3. sessionid：当程序需要为某个客户端的请求创建一个session时，服务器首先检查这个客户端的请求里是否已包含了一个session标识------------称为session id，如果已包含则说明以前已经为此客户端创建过session，服务器就按照session id把这个session检索出来使用（检索不到，会新建一个），如果客户端请求不包含session id，则为此客户端创建一个session并且生成一个与此session相关联的session id，session id的值应该是一个既不会重复，又不容易被找到规律以仿造的字符串，这个session id将被在本次响应中返回给客户端保存。
4. 对于同一个客户端请求，每次获取得到的session的id都是相同的，所以会将不重要的用户信息保存在session中
   HttpSession session = request.getSession();session.getId();

    

参考文章：