Flask中客户端侧会话与服务端会话的区别是什么？

除默认的client-side based sessions外，如果你希望改用server-side方式处理会话，有多个Flask扩展支持该能力。

二者的核心差异可以从以下几个维度区分：

• 存储位置不同
  客户端会话（Flask 默认实现）的所有会话数据经过签名处理后，完整存储在用户浏览器的 Cookie 中，服务端本身不保留会话数据，每次请求时浏览器自动携带 Cookie 中的会话数据，服务端完成校验后直接解析使用。
  服务端会话仅将无实际业务含义的会话 ID（session_id）存储在用户 Cookie 中，真实的会话数据全部存放在服务端的内存缓存、数据库或文件系统中，每次请求时服务端根据请求携带的 session_id，到对应存储位置拉取会话数据使用。
• 安全性表现不同
  客户端会话的数据存放在用户侧，Flask 默认的签名机制仅能防止数据被篡改，无法阻止用户解码查看会话内容，因此不能存储密码、支付信息等敏感数据；同时受 Cookie 单条最大 4KB 的容量限制，无法存储大量会话数据。
  服务端会话的真实数据全部保存在服务端，用户仅能拿到无意义的会话 ID，不会泄露会话内容，安全性更高，也没有 4KB 的容量限制，可以存储更多业务数据。
• 架构适配性不同
  客户端会话不占用服务端存储资源，多实例分布式部署时不需要做会话数据同步，架构适配成本极低。
  服务端会话需要占用服务端存储资源，多实例部署时需要保证所有实例都能访问同一个会话存储源，否则会出现跨实例会话不生效的问题，架构复杂度更高。
• 适用场景不同
  客户端会话适合存储非敏感的轻量状态，比如用户浏览偏好、临时页面状态，适合小型站点、低复杂度业务场景使用。
  服务端会话适合存储用户登录态、敏感操作凭证等核心数据，适合中大型站点、对安全性要求高的业务场景使用。

内容的提问来源于stack exchange，提问作者DumbMathBoy