【Linux网络】HTTPcookie与session

   🌈个人主页：秦jh__https://blog.csdn.net/qinjh_?spm=1010.2135.3001.5343
🔥 系列专栏：https://blog.csdn.net/qinjh_/category_12891150.html

目录

引入 HTTP Cookie

定义

工作原理

分类

认识 cookie

基本格式

完整的 Set-Cookie 示例 

注意事项

Cookie 的生命周期

安全性考虑[了解即可]

单独使用 Cookie，有什么问题? 

引入 HTTP Session

定义

工作原理

安全性：

 超时和失效：

用途：

总结：

附录

---

前言

    💬 hello! 各位铁子们大家好哇。

             今日更新了Linux网络cookie和session的内容
    🎉 欢迎大家关注🔍点赞👍收藏⭐️留言📝

引入 HTTP Cookie

定义

HTTP Cookie（也称为 Web Cookie、浏览器 Cookie 或简称 Cookie）是服务器发送到用户浏览器并保存在浏览器上的一小块数据，它会在浏览器之后向同一服务器再次发起请求时被携带并发送到服务器上。通常，它用于告知服务端两个请求是否来自同一浏览器，如保持用户的登录状态、记录用户偏好等。

工作原理

• 当用户第一次访问网站时，服务器会在响应的 HTTP 头中设置Set-Cookie字段，用于发送 Cookie 到用户的浏览器。
• 浏览器在接收到 Cookie 后，会将其保存在本地（通常是按照域名进行存储）。
• 在之后的请求中，浏览器会自动在 HTTP 请求头中携带Cookie 字段，将之前保存的 Cookie 信息发送给服务器。

分类

• 会话 Cookie（Session Cookie）：在浏览器关闭时失效。
• 持久 Cookie（Persistent Cookie）：带有明确的过期日期或持续时间，可以跨多个浏览器会话存在。
• 如果 cookie 是一个持久性的 cookie，那么它其实就是浏览器相关的，特定目录下的一个文件。但直接查看这些文件可能会看到乱码或无法读取的内容，因为 cookie 文件通常以二进制或 sqlite 格式存储。一般我们查看，直接在浏览器对应的选项中直接查看即可。

认识 cookie

• HTTP 存在一个报头选项：Set-Cookie, 可以用来进行给浏览器设置Cookie值。
• 在 HTTP 响应头中添加，客户端（如浏览器）获取并自行设置并保存Cookie。

基本格式

Set-Cookie: <name> = <value>

其中 <name> 是 Cookie 的名称，<value> 是 Cookie 的值。

完整的 Set-Cookie 示例 

Set-Cookie: username=peter; expires=Thu, 18 Dec 2024 12:00:00UTC; path=/; domain=.example.com; secure; HttpOnly 

关于其他可选属性的解释:

• expires=<date>：设置 Cookie 的过期日期/时间。如果未指定此属性，则 Cookie 默认为会话 Cookie，即当浏览器关闭时过期。
• path=<some_path>：限制 Cookie 发送到服务器的哪些路径。默认为设置它的路径。
• domain=<domain_name>[了解即可]：指定哪些主机可以接受该Cookie。默认为设置它的主机。
• secure[了解即可]：仅当使用 HTTPS 协议时才发送Cookie。这有助于防止Cookie 在不安全的 HTTP 连接中被截获。
• HttpOnly[了解即可]：标记 Cookie 为 HttpOnly，意味着该Cookie 不能被客户端脚本（如 JavaScript）访问。这有助于防止跨站脚本攻击（XSS）。  

以下是对 Set-Cookie 头部字段的简洁介绍:

注意事项

• 每个 Cookie 属性都以分号（;）和空格（ ）分隔。
• 名称和值之间使用等号（=）分隔。
• 如果 Cookie 的名称或值包含特殊字符（如空格、分号、逗号等），则需要进行 URL 编码。

Cookie 的生命周期

• 如果设置了 expires 属性，则 Cookie 将在指定的日期/时间后过期。
• 如果没有设置 expires 属性，则 Cookie 默认为会话Cookie，即当浏览器关闭时过期。 

安全性考虑[了解即可]

• 使用 secure 标志可以确保 Cookie 仅在 HTTPS 连接上发送，从而提高安全性。
• 使用 HttpOnly 标志可以防止客户端脚本（如 JavaScript）访问Cookie，从而防止 XSS 攻击。
• 通过合理设置 Set-Cookie 的格式和属性，可以确保Cookie 的安全性、有效性和可访问性，从而满足 Web 应用程序的需求。 

单独使用 Cookie，有什么问题? 

• 如果写入的是用户的私密数据，比如，用户名密码，浏览痕迹等。
• 本质问题在于这些用户私密数据在浏览器(用户端)保存，非常容易被人盗取，更重要的是，除了被盗取，还有就是用户私密数据也就泄漏了 

引入 HTTP Session

定义

 HTTP Session 是服务器用来跟踪用户与服务器交互期间用户状态的机制。由于HTTP协议是无状态的（每个请求都是独立的），因此服务器需要通过Session 来记住用户的信息。

工作原理

当用户首次访问网站时，服务器会为用户创建一个唯一的Session ID，并通过Cookie 将其发送到客户端。

客户端在之后的请求中会携带这个 Session ID，服务器通过Session ID 来识别用户，从而获取用户的会话信息。

服务器通常会将 Session 信息存储在内存、数据库或缓存中。

安全性：

与 Cookie 相似，由于 Session ID 是在客户端和服务器之间传递的，因此也存在被窃取的风险。

但是一般虽然 Cookie 被盗取了，但是用户只泄漏了一个Session ID，私密信息暂时没有被泄露的风险

Session ID 便于服务端进行客户端有效性的管理，比如异地登录。

可以通过 HTTPS 和设置合适的 Cookie 属性（如 HttpOnly 和Secure）来增强安全性。

 超时和失效：

Session 可以设置超时时间，当超过这个时间后，Session 会自动失效。

服务器也可以主动使 Session 失效，例如当用户登出时

用途：

用户认证和会话管理

存储用户的临时数据（如购物车内容）

实现分布式系统的会话共享（通过将会话数据存储在共享数据库或缓存中） 

总结：

HTTP Cookie 和 Session 都是用于在 Web 应用中跟踪用户状态的机制。Cookie 是存储在客户端的，而 Session 是存储在服务器端的。它们各有优缺点，通常在实际应用中会结合使用，以达到最佳的用户体验和安全性。

附录

• favicon.ico 是一个网站图标，通常显示在浏览器的标签页上、地址栏旁边或收藏夹中。这个图标的文件名 favicon 是 "favorite icon" 的缩写，而.ico 是图标的文件格式。
• 浏览器在发起请求的时候，也会为了获取图标而专门构建http 请求，我们不管它。