Cookie

Cookie 是服务器发送、浏览器存储的键值对，随同源请求自动发送，用于会话与状态管理。

用途

在无状态 HTTP 上维持客户端状态，实现会话与个性化。

机制

服务器 Set-Cookie 头设置，浏览器存储并在后续同源请求 Cookie 头发送。属性：Domain/Path 范围、Max-Age/Expires 过期、Secure 仅 HTTPS、HttpOnly 禁 JS 访问、SameSite 跨站限制。

用例

会话 ID 与登录态
购物车与偏好
CSRF Token 存储
用户追踪

示例

输入

Set-Cookie: sid=abc; HttpOnly; Secure

输出

A hardened session cookie

Blocking XSS reads

常见错误

Omitting HttpOnly lets XSS steal the cookie: Set HttpOnly, Secure, and SameSite on session cookies

相关词条

CORS（跨源资源共享）是浏览器安全机制，用 HTTP 头控制网页能否访问不同源的资源，防止跨站读取。

CSRF（跨站请求伪造）是攻击者诱导已登录用户在不知情下向目标站点发送恶意请求的漏洞。

JWT（JSON Web Token）是紧凑的自包含令牌，用 JSON 对象安全传输声明，常用于无状态认证与信息交换。

OAuth 2.0 是授权框架，使第三方应用在用户授权下访问其资源，无需共享密码，通过令牌实现。

参考链接