一般 session id 是不是放在 cookie 里，并让客户端存储一份？

通常情况下，session id 确实会被存放在 cookie 中，并且在客户端（浏览器）中存储一份。这样做的目的是为了让服务器能够区分不同的用户会话，并且能够在用户访问不同的页面时保持会话的连续性。然而，为了防止会话劫持和其他安全问题，应该采取一些措施来保护 session id。比如，使用 HTTPS 来加密所有传输的数据，并且使用适当的技术来防止会话劫持和cookie欺骗攻击等。

相关问题

如果客户端禁止 cookie 能实现 session 还能用吗？

在某些情况下，如果客户端禁止 cookie，仍然可以实现 session。使用 URL 重写技术可以将 session ID 添加到 URL 中，这样服务器就可以识别客户端并维护会话状态。但是，这种方法可能会在 URL 中暴露敏感信息，因此不是最佳选择。除此之外，还可以使用 HTTP 头文件或隐藏表单字段来传递 session ID，但这些方法也存在安全风险。总的来说，禁用 cookie 可能会增加会话管理的复杂性和安全风险，因此最好在必要的情况下允许使用 cookie。

session放在cookie里面

是的，通常情况下，Web应用程序会在用户首次访问时创建一个唯一的会话标识符，并将其存储在cookie中。之后，每次用户与Web应用程序交互时，会话ID将被传递回服务器，以便应用程序可以识别用户并检索相关信息。通过将会话ID存储在cookie中，Web应用程序可以跟踪用户的活动并维护用户的状态，从而提供更好的用户体验。当用户关闭浏览器或退出应用程序时，会话ID将被删除，用户的状态将被清除。