理解 Cookie 机制

Cookie 是一个很重要的客户端数据来源，也可以实现扩展性很好的会话

HTTP 协议是无状态的

• 对于浏览器的每一次请求，服务器都会单独处理，不与之前或之后的请求发生关联

• 即使同一个浏览器发送了 3 个请求，服务器也会独立处理这 3 个请求，服务器并不知道 3 个请求来自同一个浏览器

• 服务器需要识别浏览器请求，就必须弄清楚浏览器的请求状态。既然 HTTP 协议是无状态的，那就让服务器和浏览器共同维护一个状态，这就是会话机制

#会话机制

浏览器 服务器

|-----------第一次请求---------------->|----------|
|<----------第一次响应(会话id)---------|<--------|创建会话
|
|-----|
|     |保存
|<----|
|
|-----------第二次请求(会话id)-------->|--------|
|<----------第二次响应-----------------|<--------|
|
|
|
|-----------第三次请求(会话id)-------->|--------|
|<----------第三次响应-----------------|<--------|

1. 浏览器第一次请求服务器时，服务器创建一个会话，并将会话的 id 作为响应的一部分发送给浏览器

2. 浏览器存储会话 id，并在后续第二次和第三次请求中带上会话 id。服务器取得请求中的会话 id 就知道是不是同一个用户了

这样一来，后续请求就与第一次请求产生了关联

Cookie 机制

服务器在内存中保存会话对象，浏览器可以使用 Cookie 机制保存会话 id

浏览器 服务器

|-----------第一次请求-------------------->|--------|
|<----------第一次响应(JSESSIONID)---------|<-------|创建会话
|
|-----|
|     |设置cookie(JSESSIONID)
|<----|
|
|-----------第二次请求(Cookie：JSESSIONID)-------->|--------|
|<----------第二次响应-----------------------------|<-------|
|
|
|
|
|
|-----------第三次请求(Cookie：JSESSIONID)-------->|--------|
|<----------第三次响应-----------------------------|<-------|

Cookie 机制是一种会话机制。Cookie 是浏览器用来存储少量数据的一种机制，数据以"key=value"形式存储，浏览器发送 HTTP 请求时，自动附带 cookie 信息

Cookie 是什么

• Cookie 是一小段文本信息，伴随着用户请求和页面在浏览器和 Web 服务器之间传递

• Cookie 是一种 HTTP Header，以"key=value"的形式组成，例如：ip_country=CN

• 两个 Cookie 之间用分号隔开，比如 ip_country=CN;mbox=check#true#1499311989

Cookie 的作用

Cookie 最主要的作用是用来做用户认证，还可以用于保存用户的一些其他信息

Cookie 也可以用用于互联网精准广告定向技术

实例

通过 Fiddler 抓包观察上海科技馆网站的登录，来理解登陆的过程和 Cookie 机制

1. 启动 fiddler，启动浏览器打开 http://piaoweb.sstm.org.cn/；输入用户名和密码并登录

抓包后可以看到浏览器把用户名发送给了 Web 服务器；Web 服务器会验证用户名和密码的正确性，然后通过"Set-Cookie"给浏览器发送 3 个 Cookie，其中一个是用来保存登陆信息的

2. 打开"用户中心"：http://piaoweb.sstm.org.cn/user/center/orderlist

抓包后可以看到，HTTP Request 中会带上 Cookie(即上一步中 Web 服务器返回的 Cookie)，这样 Web 服务器就认为浏览器是登陆状态

Cookie 的属性

从 Fiddler 的抓包中，可以看到 Web 服务器返回了下面一段数据给浏览器

cookie_user_token=83AC4E4F5A788CA4E70C62707CE400DE; Expires=Tue, 21-May-2019 04:14:05 GMT; Path=/; HttpOnly

1. Expires 属性：Expires 的值是一个时间，代表过期时间。即超过这个时间该 Cookie 就失效了(如果不指定 Expires time，即表示关闭浏览器/页面的时候，Cookie 就应该被浏览器上除了)

2. Path 属性：表示 Cookie 所属的路径，asp.net 默认为"/"，就是根目录。

在同一个服务器上的目录如下：/test/、/test/cd/、/test/dd/。假设一个 Cookie1 的 Path 为/test/，Cookie2 的 Path 为/test/cd/，那么 test 下的所有页面都可以访问到 Cookie1.而/test/dd/的子页面不能访问 Cookie2。因为 Cookie 只能让其 Path 路径下的页面访问。

3. HttpOnly 属性：将一个 Cookie 设置为 HttpOnly 后，通过 Javascript 脚本将无法读取到 Cookie 信息，这能有效地防止 XSS 攻击

(一般来说，跟登陆相关的 Cookie 必须设置为 HttpOnly)

Cookie 分类

可以大致分为 2 类：会话 Cookie 和持久 Cookie

• 会话 Cookie 是一种临时的 Cookie，它记录了用户访问站点，它记录了用户访问站点时的设置和偏好；关闭浏览器，会话 Cookie 就被删除了

• 持久 Cookie 存储在硬盘上，不管浏览器退出或计算机重启，持久 Cookie 都继续存在。持久 Cookie 有过期时间

Cookie 保存在哪里

Cookie 是存在硬盘上的，不同浏览器，不同操作系统存储 Cookie 的地方可能不一样

网站自动登陆的原理

很多网站都有自动登陆的功能，以"博客园自动登录"为例来说明 Cookie 是如何传递的

在登录页面输入用户名密码，选择保存密码单击登录(这时你的机器上已保存好了登陆的 Cookie)

1. 打开浏览器输入 www.cnblogs.com

2. 浏览器会在硬盘中查找关于 cnblogs.com 的 Cookie，然后把 Cookie 放到 HTTP Request 中，再把 Request 发送给 Web 服务器

3. Web 服务器返回页面，这时你会看到自己已经登陆了