Cookie在Java中用于會話保持，通過javax.servlet.http.cookie類和httpservletrequest/httpservletresponse接口處理。1. 創(chuàng)建cookie對象并指定名稱和值；2. 設(shè)置maxage、domain、path、secure等屬性；3. 使用response.addcookie()發(fā)送至客戶端；4. 通過request.getcookies()讀取客戶端cookie；5. 刪除cookie需將其maxage設(shè)為0并重新發(fā)送；6. 安全措施包括設(shè)置httponly、secure屬性、輸入驗證、輸出編碼及使用csrf令牌；7. Session與cookie區(qū)別在于存儲位置、安全性、容量和生命周期，session依賴cookie傳遞session id，也可通過url重寫實現(xiàn)。
Cookie在Java中扮演著會話保持的重要角色，它允許服務(wù)器在客戶端存儲少量數(shù)據(jù)，以便在后續(xù)請求中識別用戶身份。理解Cookie的處理方式對于構(gòu)建健壯的Web應(yīng)用至關(guān)重要。
解決方案
Java中處理Cookie主要通過javax.servlet.http.Cookie類和HttpServletRequest/HttpServletResponse接口。以下是關(guān)鍵步驟：
立即學習“Java免費學習筆記（深入）”；
-
創(chuàng)建Cookie: 使用Cookie類的構(gòu)造函數(shù)創(chuàng)建Cookie對象，指定Cookie的名稱和值。
Cookie userCookie = new Cookie("username", "john.doe"); -
設(shè)置Cookie屬性: 可以設(shè)置Cookie的屬性，例如maxAge（Cookie的有效期，單位秒）、domain（Cookie的作用域）、path（Cookie的路徑）和secure（是否僅通過HTTPS傳輸）。
userCookie.setMaxAge(24 * 60 * 60); // 有效期為一天 userCookie.setPath("/"); // 作用于整個應(yīng)用 -
發(fā)送Cookie到客戶端: 使用HttpServletResponse.addCookie()方法將Cookie添加到響應(yīng)頭中，發(fā)送到客戶端。
response.addCookie(userCookie);
-
從客戶端讀取Cookie: 使用HttpServletRequest.getCookies()方法獲取客戶端發(fā)送的Cookie數(shù)組。遍歷數(shù)組，找到目標Cookie并獲取其值。
Cookie[] cookies = request.getCookies(); if (cookies != null) { for (Cookie cookie : cookies) { if (cookie.getName().equals("username")) { String username = cookie.getValue(); // 使用username break; } } } -
刪除Cookie: 將Cookie的maxAge設(shè)置為0，并將其添加到響應(yīng)中，即可刪除客戶端的Cookie。
Cookie deleteCookie = new Cookie("username", ""); deleteCookie.setMaxAge(0); response.addCookie(deleteCookie);
Cookie的安全性問題及防范措施
Cookie雖然方便，但也存在安全風險，比如跨站腳本攻擊（xss）和跨站請求偽造（CSRF）。以下是一些防范措施：
-
HttpOnly屬性: 設(shè)置Cookie的HttpOnly屬性為true，可以防止客戶端腳本（如JavaScript）訪問Cookie，降低XSS攻擊的風險。
userCookie.setHttpOnly(true);
-
Secure屬性: 僅在HTTPS連接下發(fā)送Cookie，防止Cookie在傳輸過程中被竊取。
userCookie.setSecure(true);
-
輸入驗證和輸出編碼: 對Cookie中存儲的數(shù)據(jù)進行嚴格的輸入驗證和輸出編碼，防止惡意代碼注入。
-
使用CSRF令牌: 在服務(wù)器端生成一個隨機令牌，將其存儲在Session中，并在每個表單中包含該令牌。在處理表單提交時，驗證請求中的令牌是否與Session中的令牌一致，防止CSRF攻擊。
Session與Cookie的區(qū)別和聯(lián)系
Session和Cookie都是用于會話保持的機制，但它們的工作方式有所不同。
- 存儲位置: Cookie存儲在客戶端瀏覽器中，而Session數(shù)據(jù)存儲在服務(wù)器端。
- 安全性: Session數(shù)據(jù)存儲在服務(wù)器端，相對更安全。
- 存儲容量: Cookie的存儲容量有限制，通常為4KB，而Session的存儲容量更大。
- 生命周期: Cookie的生命周期可以很長，取決于maxAge屬性的設(shè)置，而Session的生命周期通常較短，取決于服務(wù)器的配置。
Session通常依賴Cookie來傳遞Session ID。當客戶端第一次訪問服務(wù)器時，服務(wù)器會創(chuàng)建一個Session，并生成一個唯一的Session ID。服務(wù)器會將Session ID存儲在Cookie中，發(fā)送給客戶端。在后續(xù)請求中，客戶端會將Cookie（包含Session ID）發(fā)送給服務(wù)器，服務(wù)器根據(jù)Session ID找到對應(yīng)的Session數(shù)據(jù)。如果客戶端禁用了Cookie，可以使用URL重寫等其他方式來傳遞Session ID。
Cookie的domain和path屬性詳解
domain屬性指定Cookie的作用域。只有當請求的域名與Cookie的domain屬性匹配時，瀏覽器才會發(fā)送該Cookie。如果domain屬性沒有設(shè)置，則默認為創(chuàng)建Cookie的服務(wù)器的域名。
path屬性指定Cookie的路徑。只有當請求的路徑以Cookie的path屬性開頭時，瀏覽器才會發(fā)送該Cookie。如果path屬性沒有設(shè)置，則默認為創(chuàng)建Cookie的Servlet的路徑。
例如，如果設(shè)置Cookie的domain為.example.com，path為/app，則該Cookie可以被www.example.com/app、blog.example.com/app等域名和路徑訪問。
