HTTP 是一种无状态的协议，服务器单从网络连接上无从知道客户身份，这给交互式 Web 应用程序的实现带来了阻碍。Session 和 Cookie 一样，也是用来绕开 HTTP 的无状态性的手段之一，但与 Cookie 在客户端保存状态信息不同，Session 将用户的状态信息保存在服务器端。

当应用程序需要为某个客户端的请求创建一个 Session 的时候，服务器会首先检查这个客户端的请求里是否已包含了一个 Session 标识，即 SessionID。如果已包含一个 SessionID，则说明服务器为此客户端创建过 Session，服务器就会把这个 SessionID 对应的 Session 检索出来使用（如果检索不到，可能会新建一个）；如果客户端请求不包含 SessionID，服务器就会为此客户端创建一个新的 Session 并且生成一个与此 Session 相关联的 SessionID。SessionID 的值应该是一个既不会重复，又不容易被找到规律以仿造的字符串。这个 SessionID 将在本次响应中被返回给客户端保存（常放在 Cookie 中返回，客户端 Cookie 禁用时也可放在 URL 中）。