目录

Java EE : 一、图解Http协议

Java EE : 二、图解 Cookie（小甜饼）

Java EE : 三、图解Session（会话）

概述

一、概述

二、详细介绍Cookie 传输过程

三、谈Cookie的作用到XSS（跨站点脚本攻击）

四、总结

参考

一、概述

首先从HTTP说起，Cookie是Http协议中那部分呢？

Cookie是什么？

自问自答：Cookie是请求头域和响应头域的字段。简单地说，就是伴随请求和响应的一组键值对的文本，小文本。所以称之为”Cookie“饼干。Cookie的生命来源于服务器。首先是客户端请求服务端，此时请求为第一次，无Cookie参数。这时候，服务端setCookie发送给客户端。记住，Cookie来源自服务端。

Cookie有什么用呢？

又自问自答：Cookie来源自服务端，当然服务于客户。就像你我的会话，文字是在我们之间传递的。所以Cookie用于服务端和客户端的会话。因为Http协议是无状态的，Cookie就是维持会话，说白了就是传递数据的额外媒介。

下面我们访问百度地址。

① 产生于服务端的Response，在响应头域：

② 请求头域是这样的：（可以在Cookie Tab页发现，和响应有一样的）

下面泥瓦匠详细介绍其Cookie在 请求和响应 的传输过程。

二、详细介绍Cookie 传输过程

直接上图，一一详细解释。顺便写个CookieServlet，模拟一下Cookie的一生。代码如下：

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
package org.bysocket.http;
 
import java.io.IOException;
import java.io.PrintWriter;
 
import javax.servlet.ServletException;
import javax.servlet.annotation.WebServlet;
import javax.servlet.http.Cookie;
import javax.servlet.http.HttpServlet;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
 
@WebServlet(urlPatterns="/cookie")
public class CookieServletT extends HttpServlet
{
    private static final long serialVersionUID = 1L;
 
    @Override
    protected void doGet(HttpServletRequest req, HttpServletResponse resp)
            throws ServletException, IOException
    {
        // 获取Cookie
        Cookie[] cookies = req.getCookies();
        for (Cookie cookie : cookies)
            System.out.println(cookie.getName() + " " + cookie.getValue());
 
        // 创建Cookie
        Cookie cookie = new Cookie("CookieName", "CookieValue");
        cookie.setMaxAge(10);
        cookie.setHttpOnly(true);
        resp.addCookie(cookie);
         
        // 响应
        PrintWriter pw = resp.getWriter();
        pw.print("<html><body><h1>Hello,Cookie!</h1></body></html>");
    }
     
}

① 客户端访问，无服务端写入的Cookie。

代码 new Cookie(“CookieName”, “CookieValue”); 可以看出服务端产生一个新的键值对Cookie，并且设置，说明第一次请求时，请求的请求头域Cookie是没有的。下面没有CookieName=CookieValue 的Cookie值。如图：

② 服务端的Cookie传至浏览器。

代码中 HttpServletResponse.addCookie(cookie); 这样响应就加入了刚刚那个键值对Cookie。怎么传到浏览器（客户端）呢? 同样F12下，

从图中可得到，Cookie是通过HTTP的响应头域发送至浏览器。每个Cookie的set，都有一个对应Set-Cookie的头。还有其中的时间代表Cookie的存活时间，HttpOnly可是此Cookie只读模式。

③ 浏览器解析Cookie，保存至浏览器文件。

直接可以打开IE的Internet选项：

如图，那个位置文件就是我们Cookie存的地方。既然在哪里，泥瓦匠就去找到它。

打开看看，其内容就是:存放着Cookie信息和URL信息及一些关于时间的。

1
2
3
4
5
6
7
8
9
CookieName
CookieValue
localhost/servletBYSocket/
9728
 3416923392
 30449698
 3325104969
 30449698
 *

这样就完全搞懂了Cookie如何写入浏览器。

④ 客户端访问，有服务端写入的Cookie。

这样，同样的URL再次访问时，F12下：

不多解释，看图。

⑤ 服务器获取

服务端这时呢？只要简单的 getCookies() 就可以获取Cookie列表了。如图，服务端控制台打印如下：

泥瓦匠记忆小抄：Cookie传输小结

① 客户端访问，无服务端写入的Cookie

② 服务端的Cookie写入浏览器

③ 浏览器解析Cookie，保存至浏览器文件

④ 客户端访问，有服务端写入的Cookie

⑤ 服务器获取

三、谈Cookie的作用到XSS（跨站点脚本攻击）

Cookie没有病毒那么危险，但包含敏感信息。比如最常见的记住密码，或者一些用户经常浏览的网页数据。如图：

用户不希望这些泄露，甚至被攻击。但事实上存在这个攻击，究竟怎么攻击呢？我在 跨脚本攻击XSS 一文中也详细介绍并提出解决方案。

全名：Cross Site Script，中文名：跨站脚本攻击。顾名思义，是指“HTML注入”纂改了网页，插入恶意的脚本，从而在用户用浏览网页的时候，控制用户浏览器的一种攻击。一般攻击的套路如图所示：

四、总结

回顾全文，Cookie是HTTP协议中的一种会话机制。也明白下面两个问题就好了

1、What 什么是Cookie

2、How Cookie怎么用，干嘛用

参考

1 JavaEE 要懂的小事：二、图解 Cookie（小甜饼）

Java EE : 二、图解 Cookie（小甜饼）的更多相关文章

  1. 左手Cookie“小甜饼”，右手Web Storage

    目录 1. Web Storage 2. Cookie机制 3. 二者的联系与区别 1.Web Storage 1.1 概述 Web Storage是HTML5提供的一种新的浏览器端数据储存机制,它提 ...

  2. Java EE会话技术Cookie和Session

    会话技术 一.定义 会话技术是帮助服务器记住客户端状态的(区分客户端的).将客户访问的信息存在本地的叫Cookie技术,存在服务器上的叫Session技术. 注意: 一次会话何时开始?从打开一个浏览器 ...

  3. JAVA EE期末项目-校园小商店

    校园小商店 一.项目成员及分工 我(计科二班袁文雪)和队友(计科二班蒋媛)设计了一款面对校园的网上购物商店. 我的工作:理解分析代码,编写文档. 二.项目需求分析 网上商店系统主要是实现学生网上选商品 ...

  4. Java EE : 三、图解Session（会话）

    目录 Java EE : 一.图解Http协议 Java EE : 二.图解 Cookie(小甜饼) Java EE : 三.图解Session(会话) 概述 一.Session由来 二.Sessio ...

  5. Java EE : 一、图解Http协议

    目录 Java EE : 一.图解Http协议 Java EE : 二.图解 Cookie(小甜饼) Java EE : 三.图解Session(会话) 概述 一.技术基石及概述 二.深入理解技术基石 ...

  6. [置顶] 遵循Java EE标准体系的开源GIS服务平台之二：平台部署

    传送门 ☞ 系统架构设计 ☞ 转载请注明 ☞ http://blog.csdn.net/leverage_1229 传送门 ☞ GoF23种设计模式 ☞ 转载请注明 ☞ http://blog.csd ...

  7. Java中如何读写cookie （二）

    Java中删除cookie Cookie[]   cookies=request.getCookies();       //cookies不为空,则清除       if(cookies!=null ...

  8. 【Java EE 学习 80 上】【WebService】

    一.WebService概述 什么是WebService,顾名思义,就是基于Web的服务,它使用Http方式接收和响应外部系统的某种请求,从而实现远程调用.WebService实际上就是依据某些标准, ...

  9. 【Java EE 学习 74 上】【数据采集系统第六天】【使用Jfreechart的统计图实现】【Jfreechart的基本使用方法】

    之前已经实现了数据的采集,现在已经有了基本的数据,下一步就需要使用这些数据实现统计图的绘制了.这里使用Jfreechart实现这些统计图的绘制.首先看一下Jfreechart的基本用法,只有知道了它的 ...

随机推荐

  1. Linux下运行Jmeter测试所遇问题汇总

    一.安装及启动Jmeter  本文原创,专为光荣之路公众号所有,欢迎转发,但转发请务必写出处!  0.下载及安装 下载地址及Linux命令 wget http://mirrors.cnnic.cn/a ...

  2. Bash:-set设置位置变量结合while和shift使用

    #!/bin/bash aaa=( ) bbb=(a b c d) set -- ${aaa[@]} ));do } shift done set -- echo "------------ ...

  3. Javascript中bind、call、apply函数用法

    js 里函数调用有 4 种模式:方法调用.正常函数调用.构造器函数调用.apply/call 调用. 同时,无论哪种函数调用除了你声明时定义的形参外,还会自动添加 2 个形参,分别是 this 和ar ...

  4. 表单 阻止 技巧 JavaScript js

    阻止表单的提交,可以用return false 来进行阻止 长度不低于6,不高于20 if(username.length < 6 || username>20){ alert (&quo ...

  5. win7和u盘redhat7.1双系统安装总结

    最近win7系统越用越卡,又没钱买mac只能想办法装以下linux系统,听说redhat服务器用的比较多,就想尝试一下装一个redhat.当然,和所有人一样,搜索了很多资料.我选择装双系统,因为要抛弃 ...

  6. AfxBeginThread中使用updatedata出错

    原因:MFC对象不支持多线程操作,不能供多个线程进程使用,所以尽量不要在线程里面更新界面. 解决办法: 1.将工程改为release 2.使用控件来SetWindowText 3.在线程里面发送消息 ...

  7. acvity和fragment通过广播联系

    今天我遇到一个问题,就是在activity中需要动态改变fragment中的控件,以前看到过可以在activity中得到fragment实例,然后修改控件: 今天实验了一个新的办法,通过新的办法,就是 ...

  8. spring mvc文件上传

    package com.haier.controller.newuser; import com.haier.commons.entity.Response; import com.haier.com ...

  9. AFN设置请求超时时间

    进入AFURLRequestSerialization.m 找到 - (NSMutableURLRequest *)requestWithMethod:(NSString *)method URLSt ...

  10. linux 下 apache相关；启动、停止、重启命令；配置文件位置等等

    linux 下 apache启动.停止.重启命 基本的操作方法: 本文假设你的apahce安装目录为/usr/local/apache2,这些方法适合任何情况 apahce启动命令: 推荐/usr/l ...