探索餅乾的世界：初學者指南
- WBOY原創
- 2023-09-03 21:25:021250瀏覽
您可能聽過 cookie，但它們到底是什麼以及我們實際上可以用它們做什麼？在本教程中，我們將重點介紹 cookie 的基礎知識，並了解它們在各種 Web 應用程式和網站環境中的功能。我們還將學習如何在 PHP 和 JavaScript 專案中使用它們，同時特別注意使用它們時可能出現的安全性問題。閱讀本文後，您將獲得在您自己的 Web 應用程式中安全實施 cookie 所需的技能。
#第 1 步.了解 Cookie
我們旅程的第一步是發現這些 cookie 到底是什麼！即使您已經使用過他們，您可能仍然會發現這部分非常有用 - 所以請繼續關注我！
摘要
您可以輕鬆地將 Cookie 視為儲存到您電腦上的文字檔案。根據網頁伺服器的請求，您的瀏覽器會建立這樣的檔案。發生這種情況後，網路伺服器可以從此檔案讀取內容或寫入內容到該檔案。儘管這看起來是一項危險的功能 - 畢竟沒有人喜歡其他人向他們的電腦寫入文件，但有一些限制可以使此過程盡可能安全。
- Web 伺服器只能存取設定到其自己網域的 cookie。該網域是當網頁伺服器請求新的cookie時由瀏覽器設定的，並且只能是Web伺服器的網域或子網域（網頁伺服器可以根據需要選擇子網域）。這意味著 mozilla.com 無法讀取 google.com 等設定的 Cookie，反之亦然。
- 根據 HTTP 協議，每個 Cookie 不能大於 4096 位元組 (4KB)。
- 每個網域的 Cookie 數量有限制。每個瀏覽器的數量有所不同，但通常使用的限制是 20 個 cookie。這是為了防止單一網域佔用客戶端的磁碟空間。
- 客戶端硬碟上的 Cookie 總數有限制。每個瀏覽器的這個數字也不同，但通常限制在三百個左右。當超過這個數字時，舊的 cookie 將被刪除，然後再建立新的 cookie。
Cookie 有有效期限。設定此日期是為了當網頁伺服器不再需要舊的 cookie 時，瀏覽器可以刪除它們。如果過期日期為空，則當與伺服器的連線關閉時，cookie 將被刪除。當使用者關閉網站的視窗或選項卡，或使用者關閉整個瀏覽器時，就會發生這種情況。這些 cookie，有時稱為會話 cookie，主要用於儲存暫存設定。
技術
讓我們看看這些東西在技術層面上是什麼樣子的。 Cookie 透過 HTTP 協定傳輸。這是瀏覽器用來檢索文件並將文件發送到伺服器的協定。請求 cookie 後，每次瀏覽器取得網頁上的新項目時，都會將 cookie 傳送到伺服器。下面，我們可以看到伺服器請求新 cookie 的片段（此片段是 HTTP 回應的一部分）。
Set-Cookie: Name=content data; expires=Fri, 31-Dec-2010 23:59:59 GMT; path=/; domain=.example.net
現在不要害怕，這一切都很容易理解！
- Set-Cookie：是讓瀏覽器知道伺服器想要建立一個新的cookie。
- 名稱是cookie的名稱。網域中的每個 cookie 必須有不同的名稱，以便瀏覽器可以將所有 cookie 分開。名稱後面是 =內容資料，其中「內容資料」是要包含在 cookie 中的資料。該資料可以是文字字串或數字，並且如上所述，大小最大可達 4KB。
- expires= 是到期日的命令。到期日採用“Wdy，DD-Mon-YYYY HH：MM：SS GMT”格式（不要問我為什麼將其定義為這種荒謬的格式，因為我也不知道。沒有用戶看到過期日期，那麼為什麼要在長日期上浪費記憶體、硬碟空間和頻寬呢？）。不過不用擔心，因為大多數程式語言都有易於使用的功能可供您使用。瀏覽器會自動刪除過期日期已過的 cookie。
- 域和路徑需要一些更深入的解釋。 域是cookie將在其中處於活動狀態的網域。如果網域是“ads.google.com”，則Cookie 將僅傳送至該網域的伺服器，如果網域是“google.com”，則Cookie 將傳送至該網域的任何子網域的任何伺服器Google，包括google. com 本身。
- 路徑是 cookie 發送到的網域的路徑。這意味著，如果路徑設定為“/images/”且網域設定為“ads.google.com”，則只有瀏覽器從“ads.google”請求檔案時，Cookie 才會傳送至伺服器.com/images/ '。如果路徑設定為“/”，則無論請求的檔案在伺服器上的位置為何，cookie都會傳送至伺服器。
在下一步中，我們將回顧如何在程式語言中使用這些屬性。
步驟 2. 如何建立和讀取 Cookie
可以透過多種方式建立 Cookie，但是，出於本教學的目的，我們將專注於 PHP 和 JavaScript。
PHP
在 PHP 中创建 cookie 时要记住的最重要的事情是，您必须在向浏览器发送任何数据之前设置所有 cookie。这意味着您应该始终在任何输出之前初始化新的cookie。这包括 echo() 或 print() 命令以及 或
标记。当然，也有一些例外，但这是一般的经验法则。<?php /***Creating a cookie***/ $name = 'clientname'; $value = 'Peter Griffin'; //time() gives current time in seconds, and we add 60 seconds * 30 = 30 minutes //so this cookie expires in 30 minutes. //You may notice that the expire date is in seconds, PHP translates this to //the correct format internally! $expireDate = time() + 60 * 30; $path = '/example/'; $domain = 'test.envato.com'; $secure = false; //only transmit the cookie if a HTTPS connection is established $httponly = true; //make cookie available only for the HTTP protocol (and not for JavaScript) setcookie( $name, $value, $expireDate, $path, $domain, $secure, $httponly); <html> .... //all content etc goes here ?>
除了 $secure 和 $httponly 之外，现在看起来应该很熟悉。 “secure”是强制仅在已建立 HTTPS 连接的情况下发送 cookie，如果设置为 true，则通常应设置为 false。 “httponly”使 cookie 只能通过 HTTP 协议使用，这意味着客户端语言（如 JavaScript 和 VBscript）无法访问 cookie。这有助于防止令人讨厌的事情，例如跨站点脚本，如果您无意使用 JavaScript 等语言编辑客户端的 cookie，则应将其设置为 true。另外，为了防止误解，“httponly”并不意味着 cookie 不能通过 HTTPS 发送，因为事实上它们仍然可以。但是，请注意，上面的代码片段可以变得非常小（并且应该如此）：
<?php setcookie( 'clientname', 'Peter Griffin', time()+60*30, '/example/', 'test.envato.com', false,true); ?>
太棒了！现在我们可以创建cookie，但我们也必须能够读取它们。幸运的是，一旦创建了 cookie，PHP 就可以让这一切变得非常简单。在 PHP 中，有一个名为 $_COOKIE[] 的环境变量，可用于提取 cookie 的值。要使用它，只需将 cookie 的名称插入方括号 [] 内，如下所示：
<?php $cookieValue = $_COOKIE['name of the cookie']; ?>
这个环境变量可以像其他环境变量一样使用。就像 $_GET[] 和 $_POST[] 一样，如果您愿意，可以直接将其视为普通变量（当然，一旦您检查了 cookie 是否确实存在）。
如果您想更改过期日期、路径或域，则必须使用与原始 cookie 相同的名称，使用 setcookie() 覆盖现有 cookie。如果您将过期日期更改为过去的日期（例如 time()-30*60），则 Cookie 将被删除。
JavaScript
Cookie 也可以在客户端读取和写入。尽管 JavaScript 没有提供一个很好的读取和写入 cookie 的解决方案，但它是可能的并且被广泛使用。 JavaScript 使用 document.cookie 对象进行 cookie 操作，如以下代码片段所示：
//get current date var expiredate = new Date(); //increase date by 5 hours expiredate.setHours( expiredate.getHours() + 5); document.cookie = 'cookiename=cookievalue; expires=' + expiredate.toUTCString() + 'path=/example/; domain=test.envato.com';
您可能已经注意到，此语法与 HTTP 协议表示法非常相似。这样做的优点是更容易控制，但也带来了一些潜在的问题。下面是读取 cookie 的
var cookieName = 'testcookiename';
var textArray = document.cookie.split(';'); //put all the parts of the string in an array
for(var i = 0; i < textArray.length; i++){ // loop though all string pieces
var textPiece = textArray[i]; //contains 1 string piece
//filter beginning spaces
while(textPiece(0)==' ') textPiece = textPiece.substring(1,textPiece.length);
//if the textpiece contains our cookies name
if (textPiece.indexOf(cookieName)== 0){
//return whats after the cookies name
return textPiece.substring(cookieName.length,c.length);
}
}
我知道，我知道；这是一种痛苦。对你们来说幸运的是，我在下面发布了一些预先编写的函数（不过，出于学习目的，您可能想创建自己的函数，而且您应该这样做！）。
function writeCookie(cookieName, cookieValue, expireHours, path, domain){
var date = new Date();
date.setHours(date.getHours + expireHours);
document.cookie = cookieName + '=' + cookieValue + '; expires=' + date + '; path=' + path + '; domain=' + domain;
}
function readCookie(cookieName){
var textArray = document.cookie.split(';');
for(var i = 0; i < textArray.length; i++){
var textPiece = textArray[i];
while(textPiece(0)==' ') textPiece = textPiece.substring(1,textPiece.length);
if (textPiece.indexOf(cookieName)== 0) return textPiece.substring(cookieName.length,c.length);
}
}
请记住，这些片段不包含任何错误检查。
第 3 步. 如何处理 Cookie
你知道吗？ -
Cookie 是由 Netscape 发明的，该公司希望使用它们为在线商店创建购物车。多亏了 cookie，人们即使在与商店断开连接后也能够保留购物车中的商品。
如今，我们几乎将 Cookie 用于您能想到的所有用途。您可以使用它们来保存用户设置，例如名称、语言、位置或屏幕尺寸。这可以提高您想要为客户提供的服务质量，因为您可以优化为客户提供的服务，并在将来记住这种优化。例如，您可以将客户的首选语言保存到 cookie，然后在客户每次访问您的网站时以首选语言显示您网站的内容。
当然，用cookie还有很多比这更有趣的事情！在下一步中，我将向您展示一个很酷的代码片段示例。
第 4 步。 编写很酷的东西
终于！现在我们可以开始编写一些很棒的代码了！下面是一个奖励片段，它使用 cookie 创建重新登录机制。
“记住我”登录片段
在我们开始之前，此片段包含一些 MySQL 代码。如果您不熟悉 MySQL，请不要惊慌。尽管这段代码有点困难，但只要有一些基本的 PHP 和 cookie 知识就应该可以理解。
要创建“记住我”的实现，我们必须具备一些条件。首先，我们需要一个包含用户名、密码和标识字段的数据库表。其次，我们需要一个唯一的字符串或数字来通过cookie安全地识别客户端（这是数据库表中的标识）。在此代码片段中，我们将使用 SHA-1 摘要（它只是一个字符串）作为标识符。如果使用得当，这可以提供出色的安全性。
大多数人只是在 cookie 中插入用户名和密码，然后自动将其发送到服务器。 应始终避免这种情况！Cookie 通常通过非安全连接发送，因此任何潜在攻击者很容易看到内容。
<?php
//this assumes that the user has just logged in
/****Creating an identification string****/
$username; //normally the username would be known after login
//create a digest from two random values and the username
$digest = sha1(strval(rand(0,microtime(true)) + $username + strval(microtime(true));
//save to database (assuming connection is already made)
mysql_query('UPDATE users SET reloginDigest="'.$digest.'" WHERE username="'.$username.'"');
//set the cookie
setcookie( 'reloginID', $digest, time()+60*60*24*7,'/', 'test.example.com', false, true);
//this assumes that the user is logged out and cookie is set
/****Verifying users through the cookie****/
$digest = $_COOKIE['reloginID'];
$digest = mysql_real_escape_string($digest); //filter any malicious content
//check database for digest
$result = mysql_query('SELECT username FROM users WHERE reloginDigest="'.$digest.'"');
//check if a digest was found
if(mysql_num_rows($result) == 1){
$userdata = mysql_fetch_object($result);
$username = $userdata->username;
//here you should set a new digest for the next relogin using the above code!
echo 'You have successfully logged in, '.$username;
} else{
//digest didn't exist (or more of the same digests were found, but that's not going to happen)
echo "failed to login!";
}
?>
通过像我们一样使用摘要，获得两个相同摘要的机会微乎其微。摘要是一个四十个字符串，理论上，如果输入发生更改，它应该始终提供完整的随机输出。实际上，您应该在服务器端代码中添加时间限制，以便摘要在 X 分钟后无效。这可以防止攻击者复制某人的 cookie 并使用它们登录。
第 5 步。最佳实践
本教程即将结束。作为结论，我想总结一些最佳实践：
- 切勿将敏感数据插入 cookie。客户可能会在公共计算机上浏览，因此不要留下任何个人信息。
- 永远不要相信来自 Cookie 的数据。始终过滤字符串和数字！攻击者可能会向 Cookie 写入恶意数据，以执行您不希望服务执行的操作。
- 尝试估计 cookie 的有效期限，并相应地设置到期日期。您不想让客户的计算机被设置为一百年后过期的旧 cookie 占用。
- 始终设置 secure 和 httponly 以满足您的应用程序需求。如果您的应用程序不使用 JavaScript 编辑 cookie，请启用 httponly。如果您始终有 HTTPS 连接，请启用安全。这提高了数据的完整性和机密性。
结论
我希望您从今天的 Nettuts+ 教程中学到了一些东西。如果您有任何疑问，请随时发表评论或在 Twitter 上打个招呼。
以上是探索餅乾的世界：初學者指南的詳細內容。更多資訊請關注PHP中文網其他相關文章！