cookie安全性问题

cookie的安全性问题

Cookie机制

同域内浏览器中发出的任何一个请求都会带上Cookie，无论请求什么资源，请求时，Cookie出现在请求头的Cookie字段中。服务端响应头的Set-Cookie字段可以添加、修改和删除Cookie，客户端通过javascript也可以添加、修改和删除Cookie。另外，Cookie是无法跨浏览器存在的。

Cookie的重要字段

[name] [value] [domain] [path] [expries] [max-age] [httponly] [secure]

其含义依次为：名称、值、所属域名、所属相对根路径、过期时间、是否有HttpOnly标志、是否有Secure标志。

子域Cookie机制

设置Cookie时，如果不指定domain的值，默认就是本域。
例如：a.test.com域通过javascript设置一个Cookie,语句如下：

document.cookie="test=1";

那么，domain值默认为a.test.com。如果指定domain为父级域，比如：

document.cookie="test=1;domain=test.com";

domain变为test.com,这样带来一个好处就是可以在不同的子域共享Cookie，坏处也很明显，就攻击者控制的其他子域也能读到这个Cookie。注意：这个机制不允许设置Cookie的dom