HTTP权威指南-11：客户端识别与Cookie机制详解

2016-10-02 1 min read CS

Executive Summary

核心观点（金字塔原理）

结论先行: Cookie是HTTP协议中最重要的客户端识别机制，通过在请求和响应中携带状态信息，弥补了HTTP无状态协议的不足，实现用户会话跟踪。

支撑论点:

  1. HTTP提供多种用户识别方式：首部信息、IP地址、用户登录、胖URL和Cookie
  2. Cookie分为会话Cookie和持久Cookie，通过Set-Cookie首部设置多种属性控制其行为
  3. Cookie存在安全和隐私风险，当用户禁用Cookie时可通过胖URL作为替代方案

SWOT 分析

维度 分析
S 优势 Cookie可携带服务器产生的ID标签；支持Domain/Path精确控制发送范围；Secure属性确保仅SSL连接传输
W 劣势 依赖客户端支持，用户可禁用；会话Cookie在浏览器关闭时删除；IP地址识别在NAT/代理环境下不可靠
O 机会 胖URL可作为Cookie禁用时的替代方案；结合多种识别方式提升准确性
T 威胁 Cookie安全性和隐私问题引发用户担忧；第三方Cookie可用于跨站跟踪

适用场景

  • Web应用用户会话管理设计
  • 电商网站购物车状态维护
  • 用户行为分析和个性化推荐系统

第十一章 客户端识别与Cookie机制

HTTP用户识别机制
  • 承载用户身份信息的HTTP首部
  • 客户端IP地址跟踪，通过用户的IP地址对其进行识别
  • 用户登陆，用认证方式来识别用户
  • 胖URL一种在URL中嵌入识别信息的技术
HTTP首部
  • 承载用户相关信息的HTTP首部
首部名称 首部类型 描述
From 请求 用户的E-mail地址
User-Agent 请求 用户的浏览器软件
Referer 请求 用户是这个页面上依照链接跳转过来的
Authorization 请求 用户名和密码
Client-IP 扩展(请求) 客户端IP
X-Forwarded-For 扩展(请求) 客户端IP地址
Cookie 扩展(请求) 服务器产生的ID标签
  • Cookie类型:会话cookie(临时的一般关闭浏览器时删除)和持久cookie(存在硬盘中)
  • Cookie成分
Set-Cookie属性 描述及实例
NAME = VALUE 强制的,都是字符序列，可以创建任意NAME＝VALUE关联;Set-Cookie: customer=Mary
Expires 可选，指定一个到期日期，格式为:Weekday, DD-Mon-YY HH:MM:SS GMT
Domain 可选,浏览器只向指定域名的服务器主机发送cookie
Path 可选，可以为服务器上特定的文档分配cookie
Secure 可选，只有HTTP使用了SSL安全连接时才会发送cookie;Set-Cookie: private_id =113; secure

Cookie 会影响缓存行为，处理不当可能导致用户隐私泄露或缓存污染。核心原则：

  • Set-Cookie 响应不应被缓存：包含 Set-Cookie 头的响应如果被共享缓存存储，可能将某用户的 Cookie 发送给其他用户
  • Cache-Control 配合：对包含 Cookie 的请求，服务端应通过 Cache-Control: no-cache="Set-Cookie" 或 Cache-Control: private 控制缓存行为
  • Vary 头标记：使用 Vary: Cookie 告知缓存服务器，不同 Cookie 值的请求应作为不同缓存条目处理
  • 强制重验证：对个性化内容使用 Cache-Control: must-revalidate, max-age=0 确保每次请求都向源服务器验证
Cookie安全性和隐私

⚠️当用户禁用cookie时，可以通过胖URL达到跟踪用户状态的目的。

最新文章