Cookie/Session - 技术栈

[一：HTTP Cookie](#一：HTTP Cookie)

[二：HTTP Session](#二：HTTP Session)

假设有这么一个场景：比如登录一次bilibili，后续在访问就不需要登录了，又因为HTTP是无状态有，无连接的，无状态指客户端与服务器的请求是独立的，HTTP并不会保存客户端的任何信息，即使历史访问过。无连接指每次请求都会建立一次连接，结束关闭该连接，即：HTTP/1.0，比如后续采用HTTP/1.1持久连接：Keep-Alive等。

HTTP Cookie（也称为 Web Cookie、浏览器 Cookie 或简称 Cookie）是服务器发送到用户浏览器并保存在浏览器上的一小块数据，它会在浏览器之后向同一服务器再次发起请求时被携带并发送到服务器上。通常，它用于告知服务端两个请求是否来自同一浏览器，如保持用户的登录状态、记录用户偏好等。

1.1：当用户第一次访问网站时，服务器会在响应的 HTTP 头中设置 Set-Cookie字段，用于发送 Cookie 到用户的浏览器。

1.2：浏览器在接收到 Cookie 后，会将其保存在本地。

1.3：在之后的请求中，浏览器会自动在 HTTP 请求头中携带 Cookie 字段，将之前保存的 Cookie 信息发送给服务器。

2.1：内存级(会话)Cookie/文件级(持久)Cooike：

浏览器也是一个进程，内存给进程分配空间，保存的Cookie也就会在内存里面，当浏览器关闭，Cookie也就释放了，下次打开浏览器再次请求就不会携带Cookie了
Cookie也可以保存在浏览器内部的某个文件里，每次请求预先读取该数据传入Cookie，比如关闭浏览器，再次打开服务器也能识别用户身份。

Cookie参数选项：

cpp 复制代码

Set-Cookie: username=peter; expires=Thu, 18 Dec 2024 12:00:00
UTC; path=/; domain=.example.com; secure; HttpOnly

username表示Cookie的唯一性，也急速Key，expires表示将来某个时间Cookie到期，path表示比如/目录，该目录下的所有资源都会携带Cookie，否则访问特定path才会提交，domain表示该Cookie提交指定的域名，比如只会访问bilibili，而不会访问其他的域，secure表示只能通过HTTPS协议发送，主要保证安全性，HttpOnly表示只能由HTTP访问该Cookie，防止恶意攻击。

单用Cookie有什么问题？

Cookie是保存在客户端的，由客户端进行维护，假设Cookie写在某个文件里被窃取，攻击者就用盗取的Cookie向目标服务器发送请求，身份被冒领，一些用户的浏览痕迹和其他信息也保存在Cookie里，也就是隐私泄露，如果Cookie采用明文传输，比如账号密码也会泄露，所以基于这些问题引入Session，他是保存在服务器内，由服务器进行维护。

二：HTTP Session

HTTP Session 是服务器用来跟踪用户与服务器交互期间用户状态的机制。由于 HTTP协议是无状态的（每个请求都是独立的），因此服务器需要通过 Session 来记住用户的信息。

原理：客户端向目标服务器首次进行请求，比如携带账号和密码，服务器解析通过算法生成Sessionid返回给客户端，包括客户端的基本信息也保存在服务器内，服务器设置Set-Cookie：Sessionid 返回给客户端，客户端后续用Cookie里的Sessionid来和服务器进行身份识别。

Session也可以设置过期时间，过期服务器清理Session对应的对象。

安全性：客户端的数据是保存在服务器内的，所以私密信息相对安全，但Sessionid被窃取，用户身份一样会被冒领，但可以加一些策略，比如服务器维护用户的活跃指数，ip地址，可能甄别出Sessionid被盗取从而清理Session对象。

总结：Cookie和Session都可以用来做用户认证和会话保持，跟踪用户状态，各有优缺点，Session相对于Cookie是比较安全的，Session一般和Cookie搭配使用。