cookie 和 token 都存放在 header 中，为什么不会劫持 token？____token和cookie的区别

ゝ一世哀愁。 2023-10-01 09:22 23阅读 0赞

## cookie 和 token 都存放在 header 中，为什么不会劫持 token？ ##

cookie:登录后服务端生成的sessionid，并在http请求里返回到客户端，同时服务端保存sessionid，以后客户端的每次http请求都带上cookie（sessionid）,服务端会获取cookie（sessionid）然后验证用户的身份。所以拿到cookie就拿到了sessionid，就可验证通过。同时浏览器会自动携带cookie;

token：同样是登录后服务端返回一个token，客户端保存起来，在以后http请求里手动的加入到请求头里，服务端根据token 进行身份的校验。浏览器不会自动携带token。

CSRF 跨站点请求伪造:通过浏览器会自动携带同域cookie的特点。cookie的传递流程是用户在访问站点时，服务器端生成cookie，发送给浏览器端储存，当下次再访问时浏览器会将该网站的cookie发回给服务器端

如果用户登陆了A网站，拿到了cookie，又点击了恶意的网站B。

B收到请求以后，返回一段攻击代码，并且发出一个请求给网站A。

浏览器会在用户不知情的情况下，根据B的请求，带着cookie访问A。

由于HTTP是无状态的，A网站不知道这个请求其实是恶意网站B发出的，就会根据cookie来处理请求，从而执行了攻击代码。

而浏览器不会自动携带 token，所以不会劫持 token。

XSS:跨站脚本工攻击是指通过存在安全漏洞的Web网站注册用户的浏览器内运行非法的HTML标签或者JavaScript进行的一种攻击

cookie和token都是不安全的

## token和cookie的区别 ##

HTTP协议本身是无状态的，所以需要一个标志来对用户身份进行验证

1、cookie

用户登录成功后，会在服务器存一个session，同时发送给客户端一个cookie，这个cookie里面有唯一标识该用户的sessionID

数据需要客户端和服务器同时存储

用户再进行请求操作时，需要带上cookie，在服务器进行验证

cookie是有状态的

2、token

用户进行任何操作时，都需要带上一个token

token的存在形式有很多种，header/requestbody/url 都可以

这个token只需要存在客户端，服务器在收到数据后，进行解析

token是无状态的

token相对cookie的优势

1、支持跨域访问 ，将token置于请求头中，而cookie是不支持跨域访问的；

2、无状态化， 服务端无需存储token ，只需要验证token信息是否正确即可，而session需要在服务端存储，一般是通过cookie中的sessionID在服务端查找对应的session；

3、 无需绑定到一个特殊的身份验证 方案（传统的用户名密码登陆），只需要生成的token是符合我们预期设定的即可；

4、 更适用于移动端 （Android，iOS，小程序等等），像这种原生平台不支持cookie，比如说微信小程序，每一次请求都是一次会话，当然我们可以每次去手动为他添加cookie，详情请查看博主另一篇博客；

5、 避免CSRF跨站伪造攻击 ，还是因为不依赖cookie；

6、 非常适用于RESTful API ,这样可以轻易与各种后端（java，.net，python…）相结合，去耦合

发表评论取消回复

表情：

评论列表（有 0 条评论，23人围观）

还没有评论，来说两句吧...

相关阅读

相关 session、cookie、token的应用和区别

用户登录是 Web 应用中常见的场景，通常涉及到用户身份验证和状态管理。在用户登录过程中，Session、Cookie 和 Token 可以用来实现不同的功能，并且它们之间有一

╰半橙微兮°/ 2024年04月06日 15:48/ 0 赞/ 106 阅读

相关 session、cookie和token的区别

下面详细介绍一下session、cookie、token的区别，详细如下： 1.session和cookie区别： · 数据存放位置不同：Session数据是存在服务器中的

今天药忘吃喽~/ 2024年03月31日 17:41/ 0 赞/ 126 阅读

相关 Token,Cookie和Session三者的区别

在做各种接口测试时，经常会碰到请求参数为token的类型，但是可能大部分测试人员对token，cookie，session的区别还是一知半解。概念: cookie是服

秒速五厘米/ 2024年03月22日 15:58/ 0 赞/ 155 阅读

相关 JWT与cookie和token的区别

一. cookie A） cookie如何认证 > 1. 用户输入用户名与密码，发送给服务器。 > 2. 服务器验证用户名和密码，正确的就创建一个会话（sess

àì夳堔傛蜴生んèń/ 2023年10月17日 23:17/ 0 赞/ 71 阅读

相关 token、cookie和session区别

Cookie ![1669017-20190906163710415-464340420.png][] cookie 是一个非常具体的东西，指的就是浏览器里面能永久存储

桃扇骨/ 2023年10月12日 08:05/ 0 赞/ 72 阅读

相关 cookie 和 token 都存放在 header 中，为什么不会劫持 token？____token和cookie的区别

cookie 和 token 都存放在 header 中，为什么不会劫持 token？ cookie:登录后服务端生成的sessionid，并在http请求里返回到客户端

ゝ一世哀愁。/ 2023年10月01日 09:22/ 0 赞/ 24 阅读

相关 Session、Cookie和Token的主要区别

Session、Cookie和Token的主要区别 HTTP协议本身是无状态的。什么是无状态呢，即服务器无法判断用户身份, 也就是说无法知道上一次请求的对象是谁, 此时就

妖狐艹你老母/ 2023年02月19日 09:29/ 0 赞/ 28 阅读

相关 Session, Cookie,Token关联和区别

Session Session的中文翻译是“会话”，当用户打开某个web应用时，便与web服务器产生一次session。服务器使用session把用户的信息临时保存在了服

阳光穿透心脏的1/2处/ 2022年05月28日 11:51/ 0 赞/ 221 阅读

相关 Cookie、Session和Token

> 小编推荐：[Fundebug][]提供JS错误监控、微信小程序错误监控、微信小游戏错误监控，Node.j错误监控和Java错误监控。真的是一个很好用的错误监控费服务，众多大

系统管理员/ 2022年02月18日 08:45/ 0 赞/ 332 阅读

相关【前端安全】cookie和token都存放在header中，为什么不会劫持token？

token不是为了防止XSS的，而是为了防止CSRF的； CSRF攻击的原因是浏览器会自动带上cookie，而不会带上token；以CSRF攻击为例： cooki

客官°小女子只卖身不卖艺/ 2021年11月09日 05:38/ 0 赞/ 468 阅读