Cookie总结

Cookie总结

Http协议是无状态的，主要是为了让HTTP协议尽可能简单，使得它能够处理大量事务。HTTP/1.1引入Cookie来保存状态信息。

Cookie是服务器发送到用户浏览器并保存在本地的一小块数据，它会在浏览器下次向同一服务器再发起请求时被携带并发送到服务器上，通常，它用于告知服务器两个请求是否来自于同一个浏览器。如保持用户的登陆状态。

一、用途

• 会话状态管理（如用户登陆状态、游戏分数或者其他需要记录的信息）
• 个性化设置（如用户自定义设置、主题等）
• 浏览器行为跟踪（跟踪分析用户行为）

二、创建过程

服务器发送的响应报文包含Set-Cookie首部字段，客户端得到响应报文后把Cookie内容保存到本地。

客户端之后对同一个服务器发送请求时，会从浏览器中读出 Cookie 信息通过 Cookie 请求首部字段发送给服务器。

三、分类

• 会话期 Cookie：浏览器关闭之后它会被自动删除，也就是说它仅在会话期内有效。

• 持久性 Cookie：指定一个特定的过期时间（Expires）或有效期（Max-Age）之后就成为了持久性的 Cookie。

  

四、Secure 和 HttpOnly

• 标记为 Secure 的 Cookie 只应通过被 HTTPS 协议加密过的请求发送给服务端。但即便设置了 Secure 标记，敏感信息也不应该通过 Cookie 传输，因为 Cookie 有其固有的不安全性，Secure 标记也无法提供确实的安全保障。

• 标记为 HttpOnly 的 Cookie 不能被 JavaScript 脚本调用。因为跨域脚本 (XSS) 攻击常常使用 JavaScript 的 Document.cookie API 窃取用户的 Cookie 信息，因此使用 HttpOnly 标记可以在一定程度上避免 XSS 攻击。

  

五、Session

除了可以将用户信息通过 Cookie 存储在用户浏览器中，也可以利用 Session 存储在服务器端，存储在服务器端的信息更加安全。

Session 可以存储在服务器上的文件、数据库或者内存中，现在最常见的是将 Session 存储在内存型数据库中，比如 Redis。

例如使用 Session 维护用户登录的过程如下：

• 用户进行登录时，用户提交包含用户名和密码的表单，放入到HTTP请求报文中；
• 服务器验证该用户名和密码；
• 如果正确，则把用户信息存储到Redis中，它的Redis中的ID成为 Session ID;
• 服务器返回的响应报文的Set-Cookie首部字段包含了这个Session ID,客户端收到响应报文之后将该Cookie值存入到浏览器中；
• 客户端之后对同一浏览器进行请求时会包含Cookie值，服务器收到之后提取出Session ID,从Redis中取出用户信息，继续之后的操作。

应该注意 Session ID 的安全性问题，不能让它被恶意攻击者轻易获取，那么就不能生产一个容易被得到的 Session ID 值。此外，还需要经常重新生成 Session ID。在对安全性要求极高的场景下，例如转账等操作，除了使用 Session 管理用户状态之外，还需要对用户进行重新验证，比如重新输入密码，或者使用短信验证码等方式。

六、浏览器禁用Cookie

此时无法使用 Cookie 来保存用户信息，只能使用 Session。除此之外，不能再将 Session ID 存放到 Cookie 中，而是使用 URL 重写技术，将 Session ID 作为 URL 的参数进行传递。

七、Cookie 与 Session 选择

• Cookie只能存储ASCII码字符，而Session 则可以存取任何类型的数据，因此在考虑数据复杂性时 首选 Session；
• Cookie 存储在浏览器中，容易被恶意查看。如果非要将一些隐私数据存在 Cookie 中，可以将 Cookie 值进行加密，然后在服务器进行解密；
• 对于大型网站，如果用户所有的信息都存储在 Session 中，那么开销是非常大的，因此不建议将所有的用户信息都存储到 Session 中。

参考资料：

• https://blog.csdn.net/a491857321/article/details/52798765
• CyC2018