HTTP Cookie 和 session

HTTP Cookie

HTTP协议本身是无状态，无连接的。 

无状态是指，客户每次发起请求，服务器都不认识客户是谁，它只会根据请求返回对应的资源响应。

无连接不是指TCP的无连接，通常指的是HTTP协议本身不在请求和响应之间维护任何状态（这是无状态的含义），而不是指它不使用TCP连接。HTTP的"无连接"特性更多是指每次请求/响应交换都是独立的，且不需要在请求之间维护连接状态。 

定义 

工作原理

关于Cookie的分类

会话级别其实也就是内存级别，浏览器启动了也是了一个程序，把程序关闭了，和它相关的内存数据自然也就被释放了。

 安全性

用途

认识Cookie 

基本格式：

Set-Cookie: <name>=<value>
其中 <name> 是 Cookie 的名称，<value> 是 Cookie 的值

 一个完整的Cookie格式

Set-Cookie: username=peter; expires=Thu, 18 Dec 2024 12:00:00
UTC; path=/; domain=.example.com; secure; HttpOnly

注意：这只是一个Cookie，在username=peter后跟的都是这一条Cookie的属性。

可以设置多个Cookie，那么就要重新加一条，比如 Set-Cookie:passwd=123;XXXXX 

 关于这些属性的说明：
 

注意事项

 在我们手动设置Cookie属性，在设置时间属性的时候，有一个函数是将时间戳转化成为一个struct tm的结构体，里面有年月日等信息，但是在这里转化函数不能用localtime，要用

struct tm *tm = gmtime(&timeout);

因为localtime是默认自带了时区的，gmtime获取的是统一的UTC统一时间。 

Cookie的生命周期 

安全性的考虑 

 然而现在一般都不只是单独使用Cookie了，因为Cookie它也可能会将用户的私密信息，比如浏览记录，账号密码，容易被其他人盗取，如果没有进行加密的话，还有导致这些私密的信息被泄露。

信息被泄露，这才是最严重的。 

HTTP session

定义 

浅谈原理

 因为Cookie把用户信息保存在客户端，所以信息很容易被泄露。于是就有了如上，用户拿着账号和密码进行登录，服务器验证完信息后，会通过算法形成一个唯一的sessionID，这个sessionID指向了一个session对象，这个对象里面保存的就是用户的账号密码，还有各种用户信息，然后在返回给用户的时候，setCookie就只有一个 sessionID了。

那么用户下次访问，就只需要用sessionID给服务器即可，这样就算用户的数据被盗取了，对方也只能冒充用户登录，用户只需要更改密码，原来的sessionID就失效了，最重要的是用户的信息就不会被泄露了。

并且对于用户被冒充这种情况，服务器其实有很多的解决方法，最简单粗暴的方式就是直接让这个sessionID失效即可。服务器可以通过识别该session的行为，比如它的行为突然变得异常，或者是登录位置突然发生了转变，在识别这是一个异常session后，通过直接释放session对象的方式，直接让sessionID失效。

所以总结：
使用session，可以基本解决用户信息被泄露的问题，因为用户此时的信息已经保存在服务器上了；使用session，可以解决大部分用户被冒充登录的问题，因为服务器可以通过检测session的行为或者登录位置来判断是否是非法session，如果是非法的，那么服务器可以直接让该session失效。

拓展