Writer      ：BYSocket（泥沙砖瓦浆木匠）

微         博：BYSocket

豆         瓣：BYSocket

FaceBook：BYSocket

Twitter    ：BYSocket

上一篇 图解Http协议 ，这次继续Http家族中的COOKIE。泥瓦匠最近看到博客园中一篇好文，如图：

这就是因为浏览器COOKIE太大，导致请求时，请求头域过大造成发送失败。下面咱们就了解了解COOKIE。按着以前的思路图文并茂哈，没图说个XX。

一、概述

首先从HTTP说起，COOKIE是Http协议中那部分呢？

COOKIE是什么？

自问自答：COOKIE是请求头域和响应头域的字段。简单地说，就是伴随请求和响应的一组键值对的文本，小文本。所以称之为”COOKIE“饼干。COOKIE的生命来源于服务器。首先是客户端请求服务端，此时请求为第一次，无COOKIE参数。这时候，服务端setCOOKIE发送给客户端。记住，COOKIE来源自服务端。

COOKIE有什么用呢？

又自问自答：COOKIE来源自服务端，当然服务于客户。就像你我的会话，文字是在我们之间传递的。所以COOKIE用于服务端和客户端的会话。因为Http协议是无状态的，COOKIE就是维持会话，说白了就是传递数据的额外媒介。

下面我们访问百度地址。

① 产生于服务端的Response，在响应头域：

② 请求头域是这样的：（可以在COOKIE Tab页发现，和响应有一样的）

下面泥瓦匠详细介绍其COOKIE在 请求和响应 的传输过程。

二、详细介绍COOKIE 传输过程

直接上图，一一详细解释。顺便写个COOKIEServlet，模拟一下COOKIE的一生。代码如下：

?

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38

package org.bysocket.http;   import java.io.IOException; import java.io.PrintWriter;   import javax.servlet.ServletException; import javax.servlet.annotation.WebServlet; import javax.servlet.http.COOKIE; import javax.servlet.http.HttpServlet; import javax.servlet.http.HttpServletRequest; import javax.servlet.http.HttpServletResponse;   @WebServlet(urlPatterns="/COOKIE") public class COOKIEServletT extends HttpServlet {      private static final long serialVersiOnUID= 1L;        @Override      protected void doGet(HttpServletRequest req, HttpServletResponse resp)              throws ServletException, IOException      {          // 获取COOKIE          COOKIE[] COOKIEs = req.getCOOKIEs();          for (COOKIE COOKIE : COOKIEs)              System.out.println(COOKIE.getName() + " " + COOKIE.getValue());            // 创建COOKIE          COOKIE COOKIE = new COOKIE("COOKIEName", "COOKIEValue");          COOKIE.setMaxAge(10);          COOKIE.setHttpOnly(true);          resp.addCOOKIE(COOKIE);                    // 响应          PrintWriter pw = resp.getWriter();          pw.print("< html >< body >< h1 >Hello,COOKIE! h1 > body > html >");      }       }

① 客户端访问，无服务端写入的COOKIE。

代码 new COOKIE(“COOKIEName”, “COOKIEValue”); 可以看出服务端产生一个新的键值对COOKIE，并且设置，说明第一次请求时，请求的请求头域COOKIE是没有的。下面没有COOKIEName=COOKIEValue 的COOKIE值。如图：

② 服务端的COOKIE传至浏览器。

代码中 HttpServletResponse.addCOOKIE(COOKIE); 这样响应就加入了刚刚那个键值对COOKIE。怎么传到浏览器（客户端）呢? 同样F12下，

从图中可得到，COOKIE是通过HTTP的响应头域发送至浏览器。每个COOKIE的set，都有一个对应Set-COOKIE的头。还有其中的时间代表COOKIE的存活时间，HttpOnly可是此COOKIE只读模式。

③ 浏览器解析COOKIE，保存至浏览器文件。

直接可以打开IE的Internet选项：

如图，那个位置文件就是我们COOKIE存的地方。既然在哪里，泥瓦匠就去找到它。

打开看看，其内容就是:存放着COOKIE信息和URL信息及一些关于时间的。

这样就完全搞懂了COOKIE如何写入浏览器。

④ 客户端访问，有服务端写入的COOKIE。

这样，同样的URL再次访问时，F12下：

不多解释，看图。

⑤ 服务器获取

服务端这时呢？只要简单的 getCOOKIEs() 就可以获取COOKIE列表了。如图，服务端控制台打印如下：

泥瓦匠记忆小抄：COOKIE传输小结

① 客户端访问，无服务端写入的COOKIE

② 服务端的COOKIE写入浏览器

③ 浏览器解析COOKIE，保存至浏览器文件

④ 客户端访问，有服务端写入的COOKIE

⑤ 服务器获取

四、谈COOKIE的作用到XSS（跨站点脚本攻击）

COOKIE没有病毒那么危险，但包含敏感信息。比如最常见的记住密码，或者一些用户经常浏览的网页数据。如图：

用户不希望这些泄露，甚至被攻击。但事实上存在这个攻击，究竟怎么攻击呢？我在 跨脚本攻击XSS 一文中也详细介绍并提出解决方案。

全名：Cross Site Script，中文名：跨站脚本攻击。顾名思义，是指“HTML注入”纂改了网页，插入恶意的脚本，从而在用户用浏览网页的时候，控制用户浏览器的一种攻击。一般攻击的套路如图所示：

五、总结

回顾全文，COOKIE是HTTP协议中的一种会话机制。也明白下面两个问题就好了

1、What 什么是COOKIE

2、How COOKIE怎么用，干嘛用

Writer      ：BYSocket（泥沙砖瓦浆木匠）

微         博：BYSocket

豆         瓣：BYSocket

FaceBook：BYSocket

Twitter    ：BYSocket