Http Cookie 学习

Cookie

Cookie的作用是管理服务器端和客户端之间状态，工作机制是用户识别和状态的管理，Web网站为了管理用户的状态会通过Web浏览器，把一些数据临时写入用户的计算机内，接着当用户访问改Web网站时，将存储的Cookie一并发送给服务器端，调用Cookie时，由于可以校验Cookie的有效期，以及发送方的域，路径，协议等信息，所以正规发布的Cookie内的数据不会因为来自其他Web站点和攻击者的攻击而泄露

Cookie服务的首部信息

首部字段	说明	首部类型
Set-Cookie	开始状态管理所使用的Cookie信息	响应首部字段
Cookie	服务器端接受到的Cookie信息	请求首部字段

Set-Cookie

当服务器准备开始管理客户端状态时，会事先告知各种信息

属性	说明
NAME=VALUE	赋予Cookie的名称和值（必须）
expires=DATE	Cookie的有效期（若不明确指定，则默认为浏览器关闭前为止，对与iOS而言则是应用关闭为止）一旦Cookie从服务器端发送至客户端，服务器端就不存在可以显示删除Cookie的方法，可以通过覆盖已过期的Cookie，实现对客户端Cookie的实质性删除
path=PATH	将服务器上的文件目录作为Cookie的适用对象（若不指定则默认为文档当前所在文件目录）不过另外有办法可以避开这个限制，所有将其作为安全机制的效果不理想
domain=域名	作为Cookie适用对象的域名（若不指定则默认为创建Cookie的服务器的域名）
Secure	仅在HTTPS安全通信时才会发送Cookie 发送方式：Set-Cookie: name=xxx;secure 只有当HTTPS才会对Cookie进行回收，如果省略，不论HTTP还是HTTPS都会回收
HttpOnly	加以限制，使Cookie不能被JavaScript脚本访问（主要目的是为防止跨站脚本攻击对Cookie信息的窃取） 也就是说通过document.cookie 无法读取附加 HttpOnly属性Cookie的内容了，因此，也就无法在XSS中利用JavaScript劫持Cookie了

Cookie

首部字段Cookie会告知服务器，当客户端想获得HTTP状态管理时，就会在请求中包含从服务器接收到的Cookie，接收到多个Cookie时，同样也可以以多个Cookie的形式发送。