cookie 和 session 并不冲突，通常是用 cookie 记录一个 sessionId，后端拿到这个 sessionId 可以恢复 session 的信息，比如 session 创建时间、有效期等，还可以拓展。

这个 sessionId 记录在 cookie 里面，通常设置为 httpOnly 和 secure，无法被前端 js 代码读取，传递都是自动的，保证安全。