PHP开发安全问题之Cookie 安全问题

在浏览器中，Cookie 是服务器让浏览器帮忙携带信息的手段，就像饼干里的纸条，浏览器会储存它，并且在后续的 HTTP 请求中再次发送给服务器。

我们可以通过浏览器的开发者工具，在Application页面中查看浏览器存储的Cookies信息。

通常我们会在Cookies中记录：

• 会话状态管理（如用户登录状态、购物车、游戏分数或其它需要记录的信息）

• 个性化设置（如用户自定义设置、主题等）

• 浏览器行为跟踪（如跟踪分析用户行为等）

以上这些数据不可能通过链接参数进行传递，因此 Cookies 就是一个很好的容器。

那Cookies又会发生什么安全问题呢？

01 CSRF 攻击

CSRF：跨站请求攻击，简单地说，是攻击者通过一些技术手段欺骗用户的浏览器去访问一个自己曾经认证过的网站并运行一些操作（如发邮件，发消息，甚至财产操作如转账和购买商品），也可以这么理解：使已登陆用户在不知情的情况下执行某种动作的攻击手段。

举个例子，一家银行用以运行转账操作的 URL 如下：

http://www.examplebank.com/w