HTTP 为cookie服务的首部字段

ゞ浴缸里的玫瑰 2022-04-12 13:45 149阅读 0赞

> Cookie 的工作机制是用户识别及状态管理。

Web 网站为了管理用户的状态会通过Web浏览器，把一些数据临时写入用户的计算机内。
    
    接着当用户访问该Web网站时，可通过通信方式取回之前发放的Cookie。
    
    调用 Cookie 时，由于可校验 Cookie 的有效期，以及发送方的域、路径、协议等信息
    
    所以正规发布的 Cookie 内的数据不会因来自其他Web站点和攻击者的攻击而泄露

<table> 
 <thead> 
  <tr> 
   <th>为 Cookie 服务的首部字段</th> 
   <th></th> 
   <th></th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td>首部字段名</td> 
   <td>说明</td> 
   <td>首部类型</td> 
  </tr> 
  <tr> 
   <td>Set-Cookie</td> 
   <td>开始状态管理所使用的Cookie信息</td> 
   <td>响应首部字段</td> 
  </tr> 
  <tr> 
   <td>Cookie</td> 
   <td>服务器接收到的Cookie信息</td> 
   <td>请求首部字段</td> 
  </tr> 
 </tbody> 
</table>

> ### Set-Cookie ###

Set-Cookie: status=enable; expires=Tue, 05 Jul 2011 07:26:31 GMT; path

<table> 
 <thead> 
  <tr> 
   <th>Set-Cookie 字段的属性</th> 
   <th></th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td>属性</td> 
   <td>说明</td> 
  </tr> 
  <tr> 
   <td>NAME=VALUE</td> 
   <td>赋予 Cookie 的名称和其值（必需项）</td> 
  </tr> 
  <tr> 
   <td>expires=DATE</td> 
   <td>Cookie 的有效期（若不明确指定则默认为浏览器关闭前为止）</td> 
  </tr> 
  <tr> 
   <td>path=PATH</td> 
   <td>将服务器上的文件目录作为Cookie的适用对象（若不指定则默认为文档所在的文件目录）</td> 
  </tr> 
  <tr> 
   <td>domain=域名</td> 
   <td>作为 Cookie 适用对象的域名 （若不指定则默认为创建 Cookie的服务器的域名）</td> 
  </tr> 
  <tr> 
   <td>Secure</td> 
   <td>仅在 HTTPS 安全通信时才会发送 Cookie</td> 
  </tr> 
  <tr> 
   <td>HttpOnly</td> 
   <td>加以限制，使 Cookie 不能被 JavaScript 脚本访问</td> 
  </tr> 
 </tbody> 
</table>

> expires 属性

Cookie 的 expires 属性指定浏览器可发送 Cookie 的有效期。
    
    当省略 expires 属性时，其有效期仅限于维持浏览器会话（Session）时间段内。
    
    这通常限于浏览器应用程序被关闭之前。
    
    另外，一旦 Cookie 从服务器端发送至客户端，服务器端就不存在可以显式删除 Cookie 的方法。
    
    但可通过覆盖已过期的 Cookie，实现对客户端 Cookie 的实质性删除操作。

> path 属性

Cookie 的 path 属性可用于限制指定 Cookie 的发送范围的文件目录。

> domain 属性

通过 Cookie 的 domain 属性指定的域名可做到与结尾匹配一致。
    
    比如，当指定 example.com 后，除 example.com 以外，www.example.com 或 www2.example.com 等都可以发送 Cookie。
    
    因此，除了针对具体指定的多个域名发送 Cookie 之 外，不指定 domain 属性显得更安全。

> secure 属性

Cookie 的 secure 属性用于限制 Web 页面仅在 HTTPS 安全连接时，才
    可以发送 Cookie。
    
    发送 Cookie 时，指定 secure 属性的方法如下所示。
    
    Set-Cookie: name=value; secure
    
    以上例子仅当在 https://www.example.com/（HTTPS）安全连接的情况下才会进行 Cookie 的回收。
    也就是说，即使域名相同，http://www.example.com/（HTTP）也不会发生 Cookie 回收行为。
    当省略 secure 属性时，不论 HTTP 还是 HTTPS，都会对 Cookie 进行回收

> HttpOnly 属性

Cookie 的 HttpOnly 属性是 Cookie 的扩展功能，它使 JavaScript 脚本无法获得 Cookie。
    
    其主要目的为防止跨站脚本攻击（Cross-sitescripting，XSS）对 Cookie 的信息窃取。
    
    发送指定 HttpOnly 属性的 Cookie 的方法如下所示。
    
    Set-Cookie: name=value; HttpOnly
    
    通过上述设置，通常从 Web 页面内还可以对 Cookie 进行读取操作。
    但使用 JavaScript 的 document.cookie 就无法读取附加 HttpOnly 属性后的 Cookie 的内容了。
    因此，也就无法在 XSS 中利用 JavaScript 劫持Cookie 了

> ### Cookie ###

Cookie: status=enable
    
    首部字段 Cookie 会告知服务器，当客户端想获得 HTTP 状态管理支持时，
    
    就会在请求中包含从服务器接收到的 Cookie。
    
    接收到多个Cookie 时，同样可以以多个 Cookie 形式发送。

学习之余也不要忘了劳逸结合哦

喜欢天马行空的同学请关注公众号：  
![只为了博君一笑，没有别的用处][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzI3NjMxNzk3_size_16_color_FFFFFF_t_70]

[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzI3NjMxNzk3_size_16_color_FFFFFF_t_70]: /images/20220412/ee5095fe91eb465d8780f192355fbe34.png