为什么不使用Cookie进行身份验证而不是会话？

Question

我想在用户会话之间保持用户身份验证（默认情况下基本上是“提醒我”）。

当Cookie保持不变时，会话过期：为什么我应该使用会话进行身份验证，然后使用另一个不同的cookie来“提醒我”？

我不能简单地存储一个带有令牌的cookie并将其用于身份验证和持久性吗？

Answer 1

简短的回答是因为用户可以更改cookie，所以它不是很安全。持久性并不总是需要安全，但通常需要进行身份验证。