共计 58 个字符，预计需要花费 1 分钟才能阅读完成。
cookie
第 1 节 Cookie 快速入门
第 2 节 Cookie_细节
第 3 节 Cookie 案例
第 4 节 JSP 改造 Cookie 案例
正文完
发表至： java
2019-09-14
0. 从 http 协议的无状态性说起
- http 是无状态的协议
- 无连接：处理完一个请求就断开链接（http1.1 以后可以实现长连接）
- 无状态：上一次会话与下一次会话没有联系。
- 可以通过 cookie 来维护状态信息。
1. cookie
存储大小：每条的存储空间为 4k；
特点：
- cookie 没有显示的删除函数，可以设置 expire/max-age 过期时间，自动触发浏览器的删除机制。- 服务器通过设置响应头来设置客户端的 cookie，Set-Cookie: cookie- 名 =cookie 值。可以同时添加多个 Set-Cookie，从而设置多个 cookie 的值。- 不允许存储敏感信息（用户名，密码等），一定要存储，要设置 cookie 为 httponly，另外考虑使用 非对称加密
- 浏览器 中的 cookie 数量达到上限后，会删除旧的创建新的，删哪个由浏览器的策略决定
- cookie 通常与 session 一起使用。- 登录时，server 端存储 用户信息相关的 session。- server 端，生成的 sessionid 会放在 cookie 中，对应域名下就有了这个 cookie。- 以后会自动带这个 cookie，server 根据 id 找到 session，获取用户信息。设置 cookie：
document.cookie="userId=828";
document.cookie="userName=hulk";
此时浏览器将会维护两个 cookie，分别为 userId 和 userName；相当于：document.addCookie("userId=828");
document.addCookie("userName=hulk");
如果要改变一个 cookie 的值，只需重新赋值，例如：document.cookie="userId=929";获取 cookie：
var strCookie=document.cookie;
console.log(strCookie); //userId=828; userName=hulk- 只能一次获取所有的 cookie 的值，而不能指定 cookie 名称来获得指定的值。- 如果在某个页面创建了一个 cookie，那么该页面所在目录中的其他页面也可以访问该 cookie。- 为了控制 cookie 可以访问的目录，需要使用 path 参数设置 cookie。document.cookie="userId=320; path=/shop"; 就表示当前 cookie 仅能在 shop 目录下使用。-
常用的 cookie 操作及其函数实现：
- addCookie(name, value, expireHours):
function addCookie(name,value,expireHours){var exdate = new Date(); exdate.setTime(exdate.getTime() + expireHours * 60 * 60 * 1000); document.cookie = name + "=" + escape(value) + ((expireHours == null) ? "":";expires=" + exdate.toUTCString()); } toUTCString() 方法可根据世界时 (UTC) 把 Date 对象转换为字符串，并返回结果。- getCookie(name):
function getCookie(name){let arr, reg = new RegExp(`^| ${name} = [^;]*;|$`); if (arr = document.cookie.match(reg)) return arr[2]; else return null; } -
cookie 的可选项：
-
expires/max-age: 设置过期时间。
- expires 是绝对时间，max-age 是相对时间。
- 如果没有设置过期时间，则表示是一个会话期 cookie，在关闭浏览器后，会被移除。
- 浏览器支持会话恢复，保留 cookie。
- 正数，表示 多少秒后失效
- 负数，该 cookie 是临时 cookie，关闭浏览器就失效，浏览器页不会以任何形式保存该 cookie
- 为 0，表示删除 cookie
-
domain 和 path：
- path，设置必须匹配的路径或者子路由才会发送 cookie。如果路径设为 /forums/，那么这个 Cookie 只有在访问 www.example.com/forums 及其子路径时才有效。
- path 的设置，必须以‘/’结尾
- domain 的设置，第一个字符必须是‘.’, 比如“.baidu.com”
- domain 标识指定了哪些主机可以接受 cookie。如果没有设置，则是当前主机（不包含子域名），否则为设置的域名（包含子域名）。
-
secure 和 httponly：
- secure 标志 cookie 只能通过 https 传输，可以防止 xss 攻击。
- httponly 表示 cookie 无法通过 javascript 调用，防止中间人劫持。把 cookie 设置为 secure，只保证 cookie 与服务器之间的数据传输过程加密，而保存在本地的 cookie 文件并不加密。如果想让本地 cookie 也加密，得自己加密数据。
- samesite：可以设置 SameSite：SameSite=Strict SameSite=Lax。则 cookie 不跨域发送。ajax 中设置 xhr.withCredentials = true;
-
问题：
- 问题：“www.qq.com”与“sports.qq.com”公用一个关联的域名”qq.com”，我们如果想让”sports.qq.com”下的 cookie 被“www.qq.com”访问：- 解答：我们就需要用到 cookie 的 domain 属性，并且需要把 path 属性设置为“/“。例：document.cookie =“username=Darren;path=/;domain=qq.com“- 问题：同域名的资源请求时，会默认带上本地的 cookie，如何优化？- 解答：将静态资源分组，分别放在不同的子域下（子域名请求时，是不会带上父级域名的 cookie 的）cookie 的跨域问题
- 域名、端口相同就不算跨域，协议可以不同。