聊一聊Cookie（结合自己的学习方法分享一篇维基百科和一篇segmentfault（思否）好文）

Dear 丶 2022-05-26 05:55 108阅读 0赞

一、最近在带着Java服务端同学一起做一个新的项目，有一些基本的概念，无论是前端还是Java服务端，很多同学都是在按照经验办事，在一个公司的经验用很多年，经常容易犯经验主义的错误。  
很多时候，最基础的概念，最基本的东西还是要懂的。

二、首先学习一个东西，方法很重要啊，需要先去官方网站去看看这个东西官方是怎么解读的，理解好了，再开发，而不是咔咔咔，搜索一下，照搬一些博客上的文章进行开发了，对一些最基本的东西还是要懂的。  
特别是在学习一个技术的时候，它所依赖的一些其他的技术，请也一起了解下。  
例如下面什么是HTTP协议、交互式WEB应用程序……都是需要了解下的  
![这里写图片描述][70]

三、首先去维基百科看看，最权威的百科是怎么解读Cookie的  
[cookie维基百科][cookie]

四、简介  
Cookie（复数形态Cookies），中文名称为“小型文本文件”或“小甜饼”\[1\]，指某些网站为了辨别用户身份而储存在用户本地终端（Client Side）上的数据（通常经过加密）。由网景公司的前雇员卢·蒙特利在1993年3月发明\[2\]。最初定义于RFC 2109。目前使用最广泛的 Cookie标准却不是RFC中定义的任何一个，而是在网景公司制定的标准上进行扩展后的产物。

五、分类  
Cookie总是保存在客户端中，按在客户端中的存储位置，可分为内存Cookie和硬盘Cookie。  
内存Cookie由浏览器维护，保存在内存中，浏览器关闭后就消失了，其存在时间是短暂的。硬盘Cookie保存在硬盘里，有一个过期时间，除非用户手工清理或到了过期时间，硬盘Cookie不会被删除，其存在时间是长期的。所以，按存在时间，可分为非持久Cookie和持久Cookie。

六、用途  
因为HTTP协议是无状态的，即服务器不知道用户上一次做了什么，这严重阻碍了交互式Web应用程序的实现。在典型的网上购物场景中，用户浏览了几个页面，买了一盒饼干和两瓶饮料。最后结帐时，由于HTTP的无状态性，不通过额外的手段，服务器并不知道用户到底买了什么，所以Cookie就是用来绕开HTTP的无状态性的“额外手段”之一。服务器可以设置或读取Cookies中包含信息，借此维护用户跟服务器会话中的状态。  
在刚才的购物场景中，当用户选购了第一项商品，服务器在向用户发送网页的同时，还发送了一段Cookie，记录着那项商品的信息。当用户访问另一个页面，浏览器会把Cookie发送给服务器，于是服务器知道他之前选购了什么。用户继续选购饮料，服务器就在原来那段Cookie里追加新的商品信息。结帐时，服务器读取发送来的Cookie就行了。  
Cookie另一个典型的应用是当登录一个网站时，网站往往会请求用户输入用户名和密码，并且用户可以勾选“下次自动登录”。如果勾选了，那么下次访问同一网站时，用户会发现没输入用户名和密码就已经登录了。这正是因为前一次登录时，服务器发送了包含登录凭据（用户名加密码的某种加密形式）的Cookie到用户的硬盘上。第二次登录时，如果该Cookie尚未到期，浏览器会发送该Cookie，服务器验证凭据，于是不必输入用户名和密码就让用户登录了。

七、Cookie的缺陷  
1.Cookie会被附加在每个HTTP请求中，所以无形中增加了流量。  
2.由于在HTTP请求中的Cookie是明文传递的，所以安全性成问题，除非用HTTPS。  
3.Cookie的大小限制在4KB左右，对于复杂的存储需求来说是不够用的。

八、使用Cookies  
用户可以改变浏览器的设置，以使用Cookies。同时一些浏览器自带或安装开发者工具包允许用户查看、修改或删除特定网站的Cookies信息。

九、识别功能  
如果在一台计算机中安装多个浏览器，每个浏览器都会以独立的空间存放Cookie。因为Cookie中不但可以确认用户信息，还能包含计算机和浏览器的信息，所以一个用户使用不同的浏览器登录或者用不同的计算机登录，都会得到不同的Cookie信息，另一方面，对于在同一台计算机上使用同一浏览器的多用户群，Cookie不会区分他们的身份，除非他们使用不同的用户名登录。

九、反对Cookies者  
一些人反对Cookies在网络中的应用，他们的理由如下：  
1.识别不精确  
2.识别有时候会发生错误  
3.隐私、安全和广告：  
Cookies在某种程度上说已经严重危及用户的隐私和安全。其中的一种方法是：一些公司的高层人员为了某种目的（譬如市场调研）而访问了从未去过的网站（通过搜索引擎查到的），而这些网站包含了一种叫做网页臭虫的图片，该图片透明，且只有一个像素大小（以便隐藏），它们的作用是将所有访问过此页面的计算机写入Cookie。而后，电子商务网站将读取这些Cookie信息，并寻找写入这些Cookie的网站，随即发送包含了针对这个网站的相关产品广告的垃圾邮件给这些高级人员。

十、偷窃Cookies和脚本攻击  
虽然Cookies没有中电脑病毒那么危险，但它仍包含了一些敏感消息：用户名、电脑名、使用的浏览器和曾经访问的网站。用户不希望这些内容泄漏出去，尤其是当其中还包含有私人信息的时候。

这并非危言耸听，跨站点脚本（Cross site scripting）可以达到此目的。在受到跨站点脚本攻击时，Cookie盗贼和Cookie毒药将窃取内容。一旦Cookie落入攻击者手中，它将会重现其价值。

Cookie盗贼：搜集用户Cookie并发给攻击者的黑客，攻击者将利用Cookie消息通过合法手段进入用户帐户。  
Cookie投毒：一般认为，Cookie在储存和传回服务器期间没有被修改过，而攻击者会在Cookie送回服务器之前对其进行修改，达到自己的目的。例如，在一个购物网站的Cookie中包含了顾客应付的款项，攻击者将该值改小，达到少付款的目的。

十一、Cookies的替代品  
鉴于Cookie的局限和反对者的声音，有如下一些替代方法：  
Brownie方案，是一项开放源代码工程，由SourceForge发起。Brownie曾被用以共享在不同域中的接入，而Cookies则被构想成单一域中的接入。这项方案已经停止开发。  
P3P，用以让用户获得更多控制个人隐私权利的协议。在浏览网站时，它类似于Cookie。  
在与服务器传输数据时，通过在地址后面添加唯一查询串，让服务器识别是否合法用户，也可以避免使用Cookie。

十二、最后分享一个思否上写的较好的一篇关于Cookie的文章  
[聊一聊Cookie][Cookie]  
希望能对大家有帮助！

[70]: /images/20220526/d00d8131d2854adfa69af5089b614143.png
[cookie]: https://zh.wikipedia.org/zh-cn/Cookie
[Cookie]: https://segmentfault.com/a/1190000004556040