RFC 6265(cookie)

概述

为啥要使用cookie呢？原因是http是无状态的，无连接的，想让服务端记住访问者的身份，就是这次访问的是那个用户，使用服务端来代表用户的身份，所以也是保存在客户端的键值对。

RFC 6265规范

cookie的作用：web浏览器需要用额外的数据，用于区分请求是否来自于同一个浏览器，所以cookie是伴随http发送的额外数据。

属性：name和value是两个必备的属性，并且不区分大小写，且设置了额外的属性值之后浏览器，就必须要处理额外的属性值。

Domain属性，指明cooike会发送到那些host。

Path属性，每个cookie的作用域被限制到path组成集合中，由path属性控制，如果服务器没有提供path属性，user agent将会使用当前的require-url中path元素的“目录”作为默认值。

secure属性，将cookie的作用域限定到安全的传输途径，当一个cooike拥有secure属性时，user agent只有在请求是从一个安全的传输途径传输时，才会发送这个cookie。

expires属性，该属性的值不能被转化为日期，客户端忽略了该属性。同一个cookie两次请求的expires值不相同时，新的可能会替换旧的。

Max-Age，相对过期时间，以秒为单位。如果这个属性的值不是数字，客户端将不会处理。

cookie传输，及规则

cookie的值是在服务端设置的，也能使用js在客户端设置。http请求能够在头部直接加入cookie，发送的内容是cookie的value，name还有设置的值。

cookie可以被截获

1.通过XSS脚本，获取他人的cookie。

2.获得他人电脑上保存的cookie文件。