身份验证在Web应用中至关重要，它确保了用户能访问其权限范围内的资源。为了在服务器与客户端间传输状态信息，如登录状态，Web应用引入了Cookie、Session和Token的概念。
Cookie是储存在客户端（浏览器）的数据，用于保存状态信息，如登录状态、设置和浏览记录等。当服务器希望向客户端添加Cookie时，会在响应头中添加Set-Cookie项。客户端浏览器接收后，会保存此Cookie，下次访问相同站点时会自动携带，服务器端也需保存相应Cookie以验证。
以理发店办卡为例，客户每次来理发时携带会员卡，理发师能识别客户身份。Cookie类似会员卡，不能跨域，每个网站的Cookie只在该网站内共享。
若直接查看Cookie，应注意保护个人隐私，避免泄露敏感信息。
Web框架如Express.js、Flask和Spring提供了设置和获取Cookie的API。
Session基于Cookie实现，存储数据在服务器端，通过唯一session ID与Cookie关联。若有多台服务器，需解决Session共享问题，常见解决方案包括Session复制、数据库存储或使用第三方服务。
Token是客户端保存的用于验证身份的数据，相较于Session，Token简化了存储和共享，减轻了服务器负担。JWT是一种流行的Token标准，通过JSON格式实现，结合数字签名技术确保数据安全。
使用JWT，服务器生成Token，并用私钥加密，发送给客户端。客户端将加密的Token存储在Cookie中，服务器在验证请求时使用相同的私钥解密，以验证用户身份。此过程确保了数据安全，同时简化了状态管理和服务器负载。
