关于cookie的一些深度理解

什么是Cookie

　　cookie 就是一些字符串信息。这些信息存放在客户端的计算机中，用于客户端与服务器之间传递信息。

      服务器向客户端发送cookie，浏览器将cookie保存，之后每次http请求浏览器都会将cookie发送给服务器

　　在客户端的语言（如JavaScript）和服务端的语言（如PHP）都可以存取 cookie。

Cookie基础知识

• cookie 有大小限制，每个 cookie 所存放的数据不能超过4kb，如果长度超过4kb，则该属性将返回空字符串。
• 由于 cookie 最终都是以文件形式存放在客户端的计算机中，所以查看和修改 cookie 很方便，这就意味着cookie 不能存放重要信息。
• 每个 cookie 的格式都是这样的：<cookie名>=<值>；名称和值都必须是合法的标示符。最好为name和value进行编码
• cookie 是存在有效期的。在默认情况下，一个 cookie 的生命周期就是在浏览器关闭的时候结束。如果想要 cookie 能在浏览器关掉之后还可以使用，就必须要为该cookie 设置有效期，也就是 cookie 的失效日期。设置后的cookie 可在计算机中保留几天、几个月甚至几年

• 服务器端向客户端发送Cookie是通过HTTP响应报文实现的，在Set-Cookie中设置需要向客户端发送的cookie， 格式如下：

  Set-Cookie: "name=value;domain=.domain.com;path=/;expires=Sat, 11 Jun 2016 11:29:42 GMT;HttpOnly;secure"

      max-age: 与expires作用相同，用来告诉浏览器cookie多久过期（单位是秒），max-age的优先级高于expires。

      HttpOnly: 告知浏览器不允许通过脚本document.cookie去更改这个值，同样这个值在document.cookie中也不可见

      secure: 安全标志，指定后，只有在使用SSL链接时候才能发送到服务器，如果是http链接则不会传递该信息

• cookie的域就是domain的概念，因为浏览器是个注意安全的环境，所以不同的域之间是不能互相访问 cookie 的(当然可以通过特殊设置的达到 cookie 跨域访问)
• cookie的路径就是path的概念，一个网页所创建的 cookie 只能被与这个网页在同一目录或子目录下的所有网页访问，而不能被其他目录下得网页访问

Cookie基础用法

      一.简单的创建操作

　　在使用JavaScript存取 cookie 时，必须要使用Document对象的 cookie 属性；'username'表示 cookie 名称，'Darren'表示这个名称对应的值，如果cookie 名称不存在，就是创建一个新的 cookie；如果存在就是修改这个 cookie 名称对应的值。如果要多次创建 cookie ，重复使用这个方法即可。　

// 简单用法
document.cookie  = 'username=Darren' 
// 编码
document.cookie  = 'username=‘ + escapc('Darren') 

     在输入cookie信息时不能包含空格，分号，逗号等特殊符号，要先使用escape()函数将 cookie 值信息进行编码，在获取到 cookie 值得时候再使用unescape()函数把值进行转换回来

      二.设置cookie的有效期

　　语法如下：过期时间为UTC 或 GMT 

// 简单用法　
document.cookie = "name=value;expires=Thu, 18 Dec 2043 12:00:00 GMT"

// 封装
function setCookie(c_name, value, expiredays){

 　var exdate=new Date();
 　exdate.setDate(exdate.getDate() + expiredays);
 　document.cookie=c_name+ "=" + escape(value) + ((expiredays==null) ? "" : ";expires="+exdate.toGMTString());
}
使用方法：setCookie('username','Darren',30) 

// 立即删除cookie，expires设置为以前的时间即可，删除不必指定cookie的值
document.cookie = "name=value;expires=Thu, 01 Jan 1970 00:00:00 GMT"

Cookie高级篇

     一.cookie 路径概念

      默认情况下，只有与创建 cookie 的页面在同一个目录或子目录下的网页才可以访问，这个是因为安全方面的考虑，造成不是所有页面都可以随意访问其他页面创建的 cookie。

举个例子：

　　在 "http://www.cnblogs.com/caofeng/" 这个页面创建一个cookie，那么在"/caofeng/"这个路径下的页面

      如："https://www.cnblogs.com/caofeng/p/13439945.html"这个页面默认就能取到cookie信息。

　　可在默认情况下， "http://www.cnblogs.com"或者 "http://www.cnblogs.com/xxxx/" 就不可以访问这个 cookie

那么如何让这个 cookie 能被其他目录或者父级的目录访问类，通过设置 cookie 的路径就可以实现。

例子如下：　

　　document.cookie = "name=caofeng;path=/"

 path就是 cookie 的路径，path设置为“/”根路径,这样不管是哪个子页面创建的 cookie，所有的页面都可以访问 

     path规则

• 设置cookie——js设置path以"/"开头，比如html路径为"/caofeng/p/",路径可以设置成"/"或"/caofeng"。
• 获取cookie——使用js只能获取path大于等于当前页面path的cookie，比如html路径为/caofeng/p/,使用js只能获取“/caofeng/p/”和“/caofeng”和“/”路径下的cookie。不能获取其他路径下的cookie
• 删除cookie——删除cookie的时候路径也必须相同，默认的路径是html的path路径。
• 错误——如果path不是以"/"开头的，则创建cookie的path使用默认的path；如果是以"/"开头但是设置错了，路径名不存在或者直接设置成子路径。比如设置成"/zhangsan""或者/p",该cookie将不会被创建，并且后续对cookie的操作不论正确与否都会被浏览器禁止。

     

     二.cookie 域概念

　　路径能解决在同一个域下访问 cookie 的问题，咱们接着说 cookie 实现同域之间访问的问题。

      例如 "https://map.baidu.com/" 与 "https://fanyi.baidu.com/" 公用一个相同的一级域名"qq.com"，如果想让 "map.baidu.com" 下的cookie被 "fanyi.baidu.com" 访问

      我们就需要用到 cookie 的domain属性，并且需要把path属性设置为 "/"。例：

　　document.cookie = "username=caofeng;path=/;domain=baidu.com"

 如果要实现相互共享，就把两个域名cookie的domain都设置成baidu.com

　 示例：域名https://map.baidu.com    一级域名baidu.com     二级域名 map.baidu.com

     一级域名也叫顶级域名

      domain规则

• 设置cookie——设置cookie的时候，domain要符合域名的规则，比如可以设置成www.baidu.com和baidu.com但是不能设置成cnblogs。要有.com或者其他域名做结尾。
• 获取cookie——js只能获取domian大于等于当前页面域名的cookie。比如http:///www.cnblogs.com/caofeng/p/13439945.html页面中的js能获取domain为“www.cnblogs.com”和“https://i.cnblogs.com/”但是获取不到“g.pclady.com.cn”中的cookie；
• 删除cookie——要删除一个cookie，domain值必须跟要删除cookie的domain相同，默认的domain为html文件的domain。
• 跨域domain——js不可以把cookie设置成不同与html域名的domian。cookie设置不会成功，但不会影响后面程序对cookie的操作。
• 错误——如果domain设置错误，该cookie将不会被创建，并且后续对cookie的操作不论正确与否都会被浏览器禁止。
• • 在setcookie中省略domain参数，那么domain默认为当前域名
  • domain参数可以设置上级域名以及自身，但不能设置其它域名，包括子域名，否则cookie不起作用
  • 如果cookie设置为顶级域名，则全部的域名，包括顶级域名、二级域名、三级域名等，都可以共享该cookie
  • 如果cookie设置为当前域名，则当前域名及其所有子域名可以共享该cookie

三.cookie 安全性

　　通常 cookie 信息都是使用HTTP连接传递数据，这种传递方式很容易被查看，所以 cookie 存储的信息容易被窃取。假如 cookie 中所传递的内容比较重要，那么就要求使用加密的数据传输。

　　所以 cookie 的这个属性的名称是“secure”，默认的值为空。如果一个 cookie 的属性为secure，那么它与服务器之间就通过HTTPS或者其它安全协议传递数据。语法如下：

　　document.cookie = "username=Darren;secure"

　　把cookie设置为secure，只保证 cookie 与服务器之间的数据传输过程加密，而保存在本地的 cookie文件并不加密。如果想让本地cookie也加密，得自己加密数据。

　　注：就算设置了secure 属性也并不代表他人不能看到你机器本地保存的 cookie 信息，所以说到底，别把重要信息放cookie就对了

 

四.SameSite同站

同源策略的同源是指两个 URL 的协议/主机名/端口一致。例如https://127.0.0.1:8000/它的协议是 https，主机名是127.0.0.1，端口是 8000。同源策略作为浏览器的安全基石，其「同源」判断是比较严格的，相对而言，Cookie中的「同站」判断就比较宽松：只要两个 URL 的 eTLD+1 相同即可，不需要考虑协议和端口。其中，eTLD 表示顶级域名，例如，.com、.edu、.net 等。eTLD+1 则表示，顶级域名+名称，例如taobao.com等 

HTTP 头文件中的一个新属性 SameSit，它由网站设置，描述了 cookies 加载的情况。严格的 SameSite 属性意味着只能加载同一个网站的 cookies，宽松或缺省意味着可以加载跨站 cookies

所有没有设置 SameSite 属性的旧 cookies 将被自动归为缺省，浏览器将会视其为跨站 cookies。

SameSite 属性可以让 Cookie 在跨站请求时不会被发送，从而可以阻止跨站请求伪造攻击（CSRF）
SameSite 可以有下面三种值：
1、Strict：仅允许一方请求携带 Cookie，即浏览器将只发送相同站点请求的 Cookie，即当前网页 URL 与请求目标 URL 完全一致。
2、Lax：允许部分第三方请求携带 Cookie
3、None：无论是否跨站都会发送 Cookie

造成现在无法获取cookie是因为之前默认是 None 的，Chrome80 后默认是 Lax。

来看下从 None 改成 Lax 到底影响了哪些地方的 Cookies 的发送。

从上图可以看出，对大部分 web 应用而言，Post 表单，iframe，AJAX，Image 这四种情况从以前的跨站会发送三方 Cookie，变成了不发送。故这四种情况跨站给第三方发送 Cookie需要在设置的时候将SameSite设置为None。

 

解决方案

打开chrome  输入chrome://flags/ 打开谷歌实验室

找到SameSite by default cookies和Cookies without SameSite must be secure

将上面两项设置为 Disable

 

    把上述设置改为Disabled就允许所有的第三方cookie 

https://blog.csdn.net/nlznlz/article/details/79506655

https://blog.csdn.net/weixin_44299027/article/details/94836940