安全的cookie和token机制

java中的cookie机制：平时我们用的tomcat会实现session的生成存储。在调用HttpServletRequest的getSession(true)方法的时候，tomcat的ManagerBase类会创建session：随机数+时间+jvmid；
tomcat生成的sessionid叫做jsessionid。
session存储在tomcat的内存中，tomcat的StandardManager类将session存储在内存中，也可以持久化到file，数据库，memcache，redis等。客户端只保存cookie，而不会保存session，因为session在服务端，session销毁只能通过invalidate或超时，关掉浏览器并不会关闭session。

https://blog.csdn.net/m0_37695902/article/details/119611997

如果客户端请求的cookie中不包含JSESSIONID，服务端调用request.getSession()时就会生成并传递给客户端，此次响应头会包含设置cookie的信息

单独使用cookie或者token都是不够安全的。

单独使用自定义header的token做验证：
1、没有XSS，外部网站无法获取到token，那么可以防御csrf攻击。
2、有XSS，那么可以被窃取token，黑客可以利用token登录，或者发起csrf攻击。

单独使用cookie做验证：
1、没有XSS，没做别的措施的时候无法防御csrf攻击
2、有XSS，配置httpOnly的话比上面的安全一点，可以防止用cookie直接登录。但无法防御csrf攻击

XSS不存在的情况下，自定义token比较安全。
XSS存在的情况下，无论怎么防御，哪怕用csrftoken也是会失效的。

正确的策略：使用cookie，并配置httpOnly，可以防止被js读取cookie。设置csrftoken，防止csrf攻击。设置正确的CSP白名单策略，防止XSS后读取csrftoken。

https://danielw.cn/web-security-xss-csrf-cn#csrf