浅谈cookie安全

目录

 

0x01 简介

0x02 cookie的简单工作原理:

0x03 风险

0x04 COOKIE防护

0x05 总结

---

0x01 简介

1. cookie简述

由于HTTP协议是无状态的，而服务器端的业务必须是要有状态的。Cookie诞生的最初目的是为了存储web中的状态信息，以方便服务器端使用。比如判断用户是否是第一次访问网站。目前最新的规范是RFC 6265，它是一个由浏览器服务器共同协作实现的规范。服务端可以通过http的响应对cookie进行增加、修改和删除。而在客户端中也可以通过脚本语言如:JavaScript对其进行同样的操作。

2. cookie的组成结构

Cookie的字段一般分为:

[name] [value] [path] [domain] [expires] [secure] [httponly]
键 值 路径 所属域 过期时间 secure flag httponly flag

其中name=value是必选项，其它都是可选项

name: 一个唯一确定的cookie名称。通常来讲cookie的名称是不区分大小写的。

value: 存储在cookie中的字符串值。最好为cookie的name和value进行url编码

path: 表示这个cookie影响到的路径，浏览器跟会根据这项配置，像指定域中匹配的路径发送cookie。

domain: cookie对于哪个域是有效的。所有向该域发送的请求中都会包含这个cookie信息。这个值可以包含子域(如：http://yq.aliyun.com)，也可以不包含它(如：.http://aliyun.com，则对于http://aliyun.com的所有子域都有效).

expires: