讲登录和鉴权时，session 是一个绕不过去的词。可它也是最容易把新手搞晕的词之一。
很多人第一次接触登录系统时，会把下面这些东西混在一起：
结果就是：明明每个词都见过，但一到真正设计系统时，脑子里还是一团糊。
所以这篇文章先不急着讲具体代码，而是先把 session 这个概念讲透：它到底是什么、它为什么存在、它和 cookie / token 分别是什么关系，以及放到当前这个 Cloudflare + D1 + JWT + refresh token 的项目里，session 在整套认证系统里处于什么位置。