Cookie详解

阳光穿透心脏的1/2处 2022-07-15 07:48 347阅读 0赞

会话变量cookie和session是Web开发中必不可少的两个概念，不少人简单地把它们理解为一个是客户端的存储机制，一个是服务器端的存储机制，而没有理解其中的原理和特性。实际上，cookie和session之间存在复杂的关系，并没有想象中的那么简单。

随着Web应用的的普及，SSO单点登录的推广，有必要深刻认识cookie和session的一些基础知识。

**1. Cookie的基本概念和设置**

cookie是一种在远程浏览器端存储数据并以此跟踪和识别用户的机制。从实现上来说，cookie是存储在客户端上的一小段数据，浏览器（即客户端）通过HTTP协议和服务器端进行cookie交互。

注意：这里说的是客户端而不是浏览器，实际上能管理cookie的不仅仅是浏览器，当然最常见的是浏览器管理cookie，后面的叙述中不再区分这两个概念。

cookie独立于语言而存在，也就是说，不论是PHP还是JSP种下的cookie，其本质都是一样的，客户端脚本（如JavaScript）均能读取到。cookie在很多语言中都可以实现，严格地说，cookie并不是由这些语言实现的，而这些语言则是实现对cookie的间接操作，即发送HTTP指令，浏览器收到指令便操作cookie并返回给服务器。因此，cookie是由浏览器来实现和管理的。关于cookie的RFC文档主要有：RFC6265、RFC2109。

举例来说，我们经常使用PHP设置cookie，但实际上PHP并没有真正设置过cookie，甚至可以说，PHP根本就没有这个能力设置cookie。它只是发出命令让浏览器来做这件事而已，形象的说就是和“有关部门”打个招呼。

cookie主要是参照RFC2109标准由客户端实现其生成、使用等整个管理过程，服务器端则参照此标准实现和客户端之间的交互指令。

在PHP中使用setcookie()函数设置cookie，函数原型如下：

setcookie ( string $name \[, string $value \[, int $expire = 0 \[, string $path \[, string $domain \[, bool $secure = false \[, bool $httponly = false \]\]\]\]\]\] )

第一个参数是必选参数，设置cookie的名称。

第二个参数，设置cookie的值。参数为空时，cookie的值为空。由于把cookie的值设为false时，会使客户端尝试删除这个cookie，所以要在cookie上保存true或false时不应该直接使用布尔值，而应该使用1表示true，0表示false。

第三个参数， 设置cookie的过期时间，时间戳的形式。如果设置为0或者不设置，表示浏览器关闭后，cookie失效。默认值为0。这个值很重要，它决定了cookie的存储方式，后面会详细讲解。

第四个参数， 设置cookie的起作用路径。默认值为 "/" ，即在域名目录及目录下的所有子目录都生效。如果有需要，可以设置仅在某个目录下生效。

第五个参数，设置cookie的作用域名，默认在本域名下。

第六个参数，设置是否对cookie进行加密传输，默认为false。如果设置为true，只有使用https，这个cookie才会被设置。所以，通常情况下不设置此参数或使用默认值false。

第七个参数，表示是否只使用http访问cookie。如果为true，客户端的JavaScript就无法操作这个cookie。使用此参数可以减少XSS攻击的风险，但注意，不是所有的浏览器都支持这个参数。（再次强调，cookie和PHP没有任何关系，只和浏览器相关，PHP只负责跟浏览器打招呼，具体的管理由客户端浏览器完成。）

提示：setrawcookie函数和setcookie函数的功能基本一样，唯一的区别是setrawcookie不会对cookie的value进行urlencode转码。

注意：用PHP在当前页面设置的cookie不能立即生效，要等到下一个页面才能看到。这是由于设置的这个页面里的cookie有服务器传递给客户端浏览器，在下一个页面浏览器才能把cookie从客户端中取出传回服务器。如果是JavaScript设置的，是立即生效的。

cookie没有显示的删除函数。如果想删除cookie，可以将cookie的expire时间设置为已过期的时间，如1小时前，这会自动触发浏览器的删除机制。

如：setcookie ( "isLogin" , 1 , time() - 3600 );

如果对HTTP协议比较清楚，就知道cookie是HTTP头的一部分，即先发送或请求cookie，然后才是data域。因此，setcookie函数必须在其输出数据之前调用，这和header函数是相同的。不过，也可以使用输出缓冲函数延迟脚本的输出，直到设置好所有的cookie和其他的HTTP头。

**2. cookie的存储机制及应用**

cookie通常用来存储一些不是很敏感的信息，或者进行登录控制，也可用来记住用户名、记住免密码登录、防止刷票等。

如果将setcookie的最后一个参数httponly设置为true，JavaScript就无法读取到这个cookie，当然也可以在php.ini中设置这个参数。

有时，这样做能够增强网站的安全性。原理就是通知浏览器给cookie加上一个特殊参数，屏蔽JavaScript脚本的读取，通过其他方法还是能看到的。前面也谈到，如果浏览器不支持，即使设置了httponly，客户端JavaScript也可能读取到。

每个域名下允许的cookie数目是有限制的，根据浏览器的不同这个限制也不同。并且，一个cookie的最大字节数为4097（随着浏览器的升级，这个上限可能会增加）。

cookie的中文译名为“小甜饼或点心”，虽然cookie确实可以给我们带来许多好的用户体验，但cookie不是越多越好，它会增加带宽。也不要把cookie当作客户端的存储器来使用。

前面说过，cookie是保存在客户端的一段数据，那它究竟保存在什么地方呢？有两种情况：一种是保存在文件中，一种是保存在浏览器的内存中。

如果没有设置cookie的过期时间，cookie是默认保存在浏览器内存中的；反之，则是保存在客户机的磁盘文件中。不同的浏览器对cookie的管理策略都不相同，这里不做赘述。

还有一种cookie是Flash创建的，称为Flash Shard Object，又称Flash Cookie，即使清空浏览器所有的隐私数据，这类顽固的cookie可能还会存在硬盘上。因为它不受浏览器管理，只受Flash管理。很多网站采用这种技术识别用户。

**3. cookie跨域与P3P协议**

一般来说，cookie只能在一个应用中共享，即一个cookie只能由创建它的应用获得。实现cookie的跨域，主要是为了统一应用平台，即实现目前最流行的单点登录。最简单的方式是使用P3P协议。

P3P（Platform for Privacy Preferences）协议由万维网协会研制，为Web用户提供了对自己公开信息的更多控制。支持P3P协议的浏览器将Web站点策略与用户隐私偏好进行对比，并为用户提出不匹配的警告，通知用户有关Web隐私的处理方式。

cookie的跨域涉及两个不同的应用，习惯上称为第一方和第三方。

第一方cookie来自当前正在查看的网站，或者发送到当前正在查看的网站。

第三方cookie来自当前正在查看的网站之外的网站，或者发送到当前正在查看的网站之外的网站。

第三方网站通常提供正在查看的网站上的内容。例如，许多站点使用来自第三方网站的广告，或者IFRAME的别的网站的URL，这些第三方网站可能使用的cookie。

通过P3P使用户自己可以指定浏览器的隐私策略，达到存取第三方cookie的目的。你也许会觉得这跟Web应用毫无关系，真正的问题是如何让服务器指定用户浏览器的隐私策略，这就是P3P的使命，只要在响应用户请求时，在HTTP的头信息中增加关于P3P的配置信息就可以了，步骤如下：

（1）编辑hosts文件，加入测试域名

C:\\Windows\\System32\\drivers\\etc\\hosts

127.0.0.1   www.atest.com

127.0.0.1   www.btest.com

（2）访问www.atest.com时，调用www.btest.com的页面，种下cookie

在 get.php文件中使用P3P种下本域名的cookie，代码如下：

<?php

header('P3P:CP="CURa ADMa-dEVa PSAo PSDo OUR BUS UNI PUR INT DEM STA PRE COM NAV OTC NO|DSP COR"');

setcookie("p3p", $\_GET\['id'\], time()+3600, "/", ".btest.com");

之后，就可以在btest域，获取到设置的cookie了。

注意：

页面的cookie不能是浏览器进程的cookie，必须给cookie设置过期时间，否则跨域会获取不到。

利用IFRAME时，记得要在相应的动态页的页头添加P3P的信息，否则IE会把IFRAME框里的cookie给阻止掉，就会出现问题。

IE浏览器对跨域访问cookie限制比较严格，在Firefox、Chrome等浏览器下测试，即使不发送P3P头信息也能成功。

在实际应用中，如果仅仅有两个域名，很方便互相操作对方的cookie。如果是对个应用，其直接的关系就变得非常复杂了。这时，就需要一个完整的SSO方案，通常是通过一个SSO Server系统进行中转。CAS就是一个比较成熟的SSO解决方案。

Cookie详解

发表评论取消回复

还没有评论，来说两句吧...

相关阅读

相关 Cookie详解

相关 Cookie/Session机制详解

相关 Cookie详解

相关 HTTP cookies 详解

相关 Cookie和Session详解

相关 Cookie和Session详解

相关 Cookie详解 (二)

相关 cookie setSecure详解

相关 Session和Cookie详解

相关 cookie属性详解