Cookie

思静鱼

已于 2024-10-31 17:09:34 修改

阅读量1k

点赞数 12

分类专栏： # 安全认证鉴权文章标签： java

于 2024-10-31 17:05:31 首次发布

本文链接：https://blog.csdn.net/fireworkit/article/details/143406444

版权

安全认证鉴权专栏收录该内容

18 篇文章

订阅专栏

Cookie 是一种在客户端存储数据并在每个请求中发送给服务器的机制。它是由服务器发送给客户端的一小段文本数据，并被存储在客户端的浏览器中。当客户端向服务器发送请求时，它会将相应的 Cookie 一起发送到服务器。因此，Cookie 可以用于识别用户身份、保存用户偏好设置等。Cookie 的缺点是不够安全，可能会被窃取或篡改。
Cookie 是在客户端存储的小型数据片段，由服务器发送到客户端，并在客户端的浏览器中保存。每次浏览器向服务器发送请求时，会自动携带相关的 Cookie。
主要用途包括存储用户的身份认证信息、跟踪用户的会话状态以及保存用户首选项等。
Cookie 是一种在客户端存储数据的小型文本文件，由 Web 服务器发送给客户端浏览器，然后客户端浏览器将其保存在用户的设备上。Cookie 主要用于跟踪用户的会话信息、记录用户的偏好设置以及实现购物车等功能。
结构：

名称（Name）： Cookie 的名称，用于唯一标识一个 Cookie。
值（Value）： Cookie 的值，存储在 Cookie 中的数据信息。
域（Domain）：设置 Cookie 所属的域名，指定了可以接收该 Cookie 的服务器域名。默认情况下，Cookie 的域名为设置 Cookie 的页面所在的域名。
路径（Path）：指定了可以接收该 Cookie 的页面路径。默认情况下，Cookie 的路径为设置 Cookie 的页面路径。
过期时间（Expires / Max-Age）：指定了 Cookie 的有效期，超过该时间后，Cookie 将被删除。可以设置一个具体的日期时间（Expires）或者一个相对时间（Max-Age）。
安全标志（Secure）：指定了是否要求在 HTTPS 连接中才能发送该 Cookie。
HttpOnly 标志（HttpOnly）：指定了是否禁止 JavaScript 访问该 Cookie，可以增加 Cookie 的安全性。
使用场景：
会话管理：用于跟踪用户的会话信息，如用户登录状态、会话 ID 等，从而实现用户认证和会话管理。
个性化设置：用于记录用户的偏好设置和个性化配置，如语言偏好、主题样式等。
购物车：用于存储用户在网站上添加到购物车的商品信息，以便在用户下次访问时恢复购物车状态。
广告跟踪：用于记录用户的浏览行为和偏好，从而实现广告投放的定向和个性化。
工作流程：
服务器创建 Cookie：当用户访问网站时，服务器在 HTTP 响应头中设置 Cookie，并发送给客户端浏览器。
客户端浏览器保存 Cookie：客户端浏览器接收到 Cookie 后，将其保存在用户的设备上，通常存储在浏览器的 Cookie 存储中。
客户端浏览器发送 Cookie：当用户再次访问网站时，客户端浏览器会将之前保存的 Cookie 自动包含在 HTTP 请求头中，并发送给服务器。
服务器读取 Cookie：服务器接收到包含 Cookie 的 HTTP 请求后，可以读取其中的 Cookie 信息，从而实现相应的功能，如会话管理、个性化设置等。
注意事项：
隐私安全： Cookie 存储在客户端浏览器中，可能会被恶意程序或第三方窃取，因此需要注意保护用户的隐私安全。
大小限制：单个 Cookie 的大小通常限制在几 KB 到几 MB 之间，超过限制后可能会被浏览器拒绝接收或截断。
跨域访问： Cookie 的域和路径限制了其在不同域名和路径下的访问范围，需要注意跨域访问的限制。
安全性设置：可以通过设置安全标志和 HttpOnly 标志来增强 Cookie 的安全性，防止被恶意程序利用。
总的来说，Cookie 是 Web 开发中常用的一种客户端存储数据的方式，具有很多实际应用场景，但需要注意隐私安全和安全性设置等方面的问题。
Cookie 可以设置过期时间，可以是会话级的（当浏览器关闭时失效）或持久的（在指定时间之后失效）。
由于存储在客户端，Cookie 可能会受到一些安全性和隐私方面的限制和问题，比如跨站点脚本攻击（XSS）和跨站点请求伪造（CSRF）。
cookie 存储在客户端： cookie 是服务器发送到用户浏览器并保存在本地的一小块数据，它会在浏览器下次向同一服务器再发起请求时被携带并发送到服务器上。
cookie 是不可跨域的：每个 cookie 都会绑定单一的域名，无法在别的域名下获取使用，一级域名和二级域名之间是允许共享使用的（靠的是 domain）。
codeCookie.setPath(“/ams”) 表示将Cookie的路径设置为"/ams"。这意味着该Cookie只会在路径以 “/ams” 开头的请求中发送到服务器。
具体来说，设置Cookie的路径是为了限制Cookie的作用范围。默认情况下，如果不设置路径，Cookie将被应用于发送该Cookie的页面所在的路径及其子路径。例如，如果将Cookie添加到一个位于"/ams/test"路径下的页面，那么该Cookie将同时适用于 “/ams/test”、“/ams/test/subpage” 等路径。
通过显式设置路径，可以使Cookie仅在指定的路径下生效。在示例中，setPath(“/ams”) 将路径限制为 “/ams”，意味着该Cookie仅适用于以 “/ams” 开头的请求路径，例如 “/ams/page1” 和 “/ams/page2”。对于其他路径，如 “/other” 或 “/test”，该Cookie将不会被发送。
这种设置路径的方式可以根据实际需求来控制Cookie的作用范围，使其只在特定的路径或子路径中生效，提高Cookie的灵活性和安全性。
其他

import javax.servlet.http.Cookie;
import javax.servlet.http.HttpServlet;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
import java.io.IOException;

public class MyServlet extends HttpServlet {
    @Override
    protected void doGet(HttpServletRequest request, HttpServletResponse response) throws IOException {
        // 创建Cookie对象
        Cookie cookie = new Cookie("name", "John");
        cookie.setMaxAge(3600); // 设置Cookie的有效期为3600秒（1小时）
        cookie.setPath("/"); // 设置Cookie的路径，根路径表示全站可用

        // 将Cookie添加到响应中
        response.addCookie(cookie);
        
        // 其他响应设置（如设置响应头等）
        // ...
    }
}

在上述示例中，我们创建了一个名为"name"值为"John"的Cookie对象，并使用setMaxAge方法设置了Cookie的有效期为3600秒。然后，通过调用addCookie方法将Cookie添加到HttpServletResponse对象中，从而将Cookie数据放入响应中。
需要注意的是，必须在发送响应之前将Cookie添加到响应中，否则Cookie将不会生效。另外，还可以使用其他方法来设置Cookie的属性，例如setDomain指定Cookie的域，setSecure指定是否只能通过安全连接（HTTPS）发送Cookie等。
请注意，在实际应用中，应遵循相关安全性和隐私保护的最佳实践，仅将必要的信息存储在Cookie中，并对敏感数据进行适当的加密和保护。Cookie 是存储在客户端的小型文本文件，用于在客户端和服务器之间传递数据。其数据结构一般包含以下几个字段：

Name（名称）： Cookie 的名称，用于标识 Cookie。
Value（值）： Cookie 存储的值，通常是一个字符串，用于保存需要在客户端和服务器之间传递的数据。
Domain（域）：指定 Cookie 可以发送到哪个域名下的服务器。如果不指定，默认为创建 Cookie 的页面所在的域名。
Path（路径）：指定 Cookie 的路径，即 Cookie 生效的路径。默认情况下，Cookie 的路径为创建 Cookie 的页面所在路径。
Expires/Max-Age（过期时间）：指定 Cookie 的过期时间。可以通过 Expires 字段指定一个具体的过期时间，或者通过 Max-Age 字段指定 Cookie 的有效期（以秒为单位）。
Secure（安全标志）：一个布尔值，表示 Cookie 是否只能通过 HTTPS 连接传输。如果设置为 true，则表示 Cookie 只能通过安全的 HTTPS 连接传输，不能通过 HTTP 连接传输。
HttpOnly（HTTP标志）：一个布尔值，表示 Cookie 是否只能通过 HTTP 协议传输，不能通过 JavaScript 访问。设置为 true，则表示 Cookie 只能通过 HTTP 协议传输，不能通过 JavaScript 访问，这样可以增加 Cookie 的安全性，防止 XSS 攻击。
这些字段组合在一起就构成了一个完整的 Cookie。客户端（例如浏览器）在接收到来自服务器的 Set-Cookie 头部时，会根据这些字段的值来创建 Cookie，并将其存储在本地。然后，在之后的每次请求中，客户端会将相应的 Cookie 信息包含在请求头中，发送给服务器。在 Web 开发中，可以使用服务器端的语言或框架来设置 Cookie 数据。下面我将以常见的两种情况来说明如何设置 Cookie 数据：

使用服务器端代码设置 Cookie 数据：

a. 使用 Java Servlet 设置 Cookie 数据： 
import javax.servlet.http.Cookie;
import javax.servlet.http.HttpServletResponse;

// 在 Servlet 中设置 Cookie 数据
Cookie cookie = new Cookie("cookieName", "cookieValue");
// 设置 Cookie 的过期时间，单位为秒（例如设置为一天的有效期）
cookie.setMaxAge(24 * 60 * 60);
// 设置 Cookie 的路径
cookie.setPath("/");
// 将 Cookie 添加到响应中
response.addCookie(cookie);

b. 使用 Spring MVC 设置 Cookie 数据： 
import org.springframework.web.bind.annotation.CookieValue;
import org.springframework.web.bind.annotation.RequestMapping;
import org.springframework.web.bind.annotation.RestController;
import javax.servlet.http.Cookie;
import javax.servlet.http.HttpServletResponse;

@RestController
public class CookieController {

    @RequestMapping("/setCookie")
    public String setCookie(HttpServletResponse response) {
        // 创建 Cookie 对象
        Cookie cookie = new Cookie("cookieName", "cookieValue");
        // 设置 Cookie 的过期时间，单位为秒（例如设置为一天的有效期）
        cookie.setMaxAge(24 * 60 * 60);
        // 设置 Cookie 的路径
        cookie.setPath("/");
        // 添加 Cookie 到响应中
        response.addCookie(cookie);
        return "Cookie has been set successfully.";
    }

}
使用客户端 JavaScript 设置 Cookie 数据：
在前端页面中，可以使用 JavaScript 来设置 Cookie 数据。例如：
// 设置 Cookie 数据
document.cookie = “cookieName=cookieValue; expires=Thu, 01 Jan 2026 00:00:00 UTC; path=/”;

在这个例子中，我们通过 document.cookie 属性直接设置了 Cookie 数据。可以通过指定 expires 来设置过期时间，path 来设置 Cookie 的路径。注意，JavaScript 设置的 Cookie 数据会遵循浏览器的同源策略。
无论是服务器端设置还是客户端 JavaScript 设置，都可以通过指定名称、值、过期时间等参数来设置 Cookie 数据。

cookie 共一个ip 数据能共享？

不完全正确。Cookie 是一种在客户端存储的小型数据片段，它是由服务器发送给客户端并保存在客户端的浏览器中的。在同一域名下，不同页面间可以共享相同的 Cookie，这是因为浏览器在发送 HTTP 请求时会自动附上相应域名下的 Cookie。
然而，与跨域请求不同，Cookie 并不是基于 IP 地址的。即使是同一个 IP 地址下的不同域名，它们的 Cookie 也是相互隔离的，不能共享。这是由同源策略所规定的。
同源策略要求 Cookie 的域名、协议和端口都要完全一致才能共享。如果两个页面的域名不同，即使它们位于同一个 IP 地址下，它们之间也无法共享 Cookie。
因此，虽然 Cookie 在同一域名下的不同页面间可以共享，但在不同域名下的页面间不能共享。

cookie 重要的属性
属性说明
name=value 键值对，设置 Cookie 的名称及相对应的值，都必须是字符串类型

如果值为 Unicode 字符，需要为字符编码。
如果值为二进制数据，则需要使用 BASE64 编码。

domain 指定 cookie 所属域名，默认是当前域名
path 指定 cookie 在哪个路径（路由）下生效，默认是 ‘/’。
如果设置为 /abc，则只有 /abc 下的路由可以访问到该 cookie，如：/abc/read。
maxAge cookie 失效的时间，单位秒。如果为整数，则该 cookie 在 maxAge 秒后失效。如果为负数，该 cookie 为临时 cookie ，关闭浏览器即失效，浏览器也不会以任何形式保存该 cookie 。如果为 0，表示删除该 cookie 。默认为 -1。

比 expires 好用。

expires 过期时间，在设置的某个时间点后该 cookie 就会失效。
一般浏览器的 cookie 都是默认储存的，当关闭浏览器结束这个会话的时候，这个 cookie 也就会被删除
secure 该 cookie 是否仅被使用安全协议传输。安全协议有 HTTPS，SSL等，在网络上传输数据之前先将数据加密。默认为false。
当 secure 值为 true 时，cookie 在 HTTP 中是无效，在 HTTPS 中才有效。
httpOnly 如果给某个 cookie 设置了 httpOnly 属性，则无法通过 JS 脚本读取到该 cookie 的信息，但还是能通过 Application 中手动修改 cookie，所以只是在一定程度上可以防止 XSS 攻击，不是绝对的安全

Cookie 每个方法

Cookie 是一种在客户端（通常是浏览器）存储少量数据的方式，这些数据通常用于跟踪用户会话、记录用户偏好等。Cookie 的每个方法都有其特定的用途和说明，以下是对一些常见 Cookie 方法的详细说明：

创建 Cookie
方法：通常通过 new Cookie(String name, String value) 来创建一个 Cookie 对象。
说明：这里的 name 是 Cookie 的名称，value 是 Cookie 的值。Cookie 的名称和值都是字符串类型，且名称在浏览器中必须是唯一的。
设置 Cookie 的属性
2.1 setMaxAge(int expiry)
方法：设置 Cookie 的有效期。
参数：expiry 是一个整数，表示 Cookie 的存活时间（秒）。
正数：表示 Cookie 将在指定的秒数后失效，数据会被写到硬盘的文件中，实现持久化存储。
负数：表示 Cookie 仅在浏览器会话期间有效，关闭浏览器后失效。
零：表示立即删除 Cookie。
说明：通过该方法可以设置 Cookie 的存活时间，从而控制其在客户端的保留时间。
2.2 setPath(String path)
方法：设置 Cookie 的路径属性。
参数：path 是一个字符串，表示 Cookie 的有效路径。
说明：只有指定路径及其子路径下的请求才能访问该 Cookie。默认情况下，Cookie 的路径是当前请求的虚拟目录。通过设置路径，可以控制 Cookie 的访问范围。
2.3 setDomain(String domain)
方法：设置 Cookie 的域名属性。
参数：domain 是一个字符串，表示 Cookie 的有效域名。
说明：只有指定域名及其子域名下的请求才能访问该 Cookie。设置域名属性可以实现跨域访问 Cookie。但需要注意的是，出于安全考虑，通常不建议跨域共享 Cookie。
2.4 setSecure(boolean flag)
方法：设置 Cookie 的安全属性。
参数：flag 是一个布尔值，表示是否仅通过 HTTPS 协议传输 Cookie。
说明：当设置为 true 时，只有在使用 HTTPS 协议的页面上才会发送该 Cookie。这有助于增强 Cookie 的安全性。
2.5 setHttpOnly(boolean flag)
方法：设置 Cookie 的 HttpOnly 属性。
参数：flag 是一个布尔值，表示是否仅允许通过 HTTP 协议访问 Cookie。
说明：当设置为 true 时，通过客户端脚本（如 JavaScript）将无法访问该 Cookie。这有助于防止跨站脚本攻击（XSS）。
发送 Cookie 到客户端
方法：通过 HttpServletResponse 对象的 addCookie(Cookie cookie) 方法将 Cookie 发送到客户端。
说明：在服务器端创建并设置好 Cookie 属性后，需要将 Cookie 添加到响应中，以便将其发送到客户端（浏览器）进行存储。
获取 Cookie
方法：在服务器端，通过 HttpServletRequest 对象的 getCookies() 方法获取客户端请求中携带的所有 Cookie。
说明：该方法返回一个 Cookie[] 数组，其中包含了客户端请求中携带的所有 Cookie。可以通过遍历该数组来查找特定的 Cookie。
修改和删除 Cookie
修改 Cookie：要修改一个已存在的 Cookie，可以创建一个新的 Cookie 对象，其名称和路径要与原 Cookie 相同，但值或其他属性可以不同。然后，将这个新的 Cookie 添加到响应中，以覆盖原 Cookie。
删除 Cookie：要删除一个 Cookie，可以创建一个新的 Cookie 对象，其名称和路径要与原 Cookie 相同，但将 setMaxAge(0) 设置为 0。然后，将这个新的 Cookie 添加到响应中。由于 Cookie 的有效期为 0，因此它将被立即删除。
注意事项
Cookie 的大小有限制，通常在 4KB 到 10KB 之间（不同浏览器可能有所不同）。
浏览器对于单个域名下的 Cookie 数量也有限制。
出于隐私和安全考虑，应谨慎使用 Cookie 存储敏感信息。
以上是对 Cookie 常见方法的详细说明。在实际开发中，应根据具体需求和使用场景来选择合适的 Cookie 方法和属性设置。