Cookies 使用

编写 Cookie

浏览器负责管理用户系统上的 Cookie。Cookie 通过 HttpResponse 对象发送到浏览器，该对象公开称为 Cookies 的集合。可以将 HttpResponse 对象作为 Page 类的 Response 属性来访问。要发送给浏览器的所有 Cookie 都必须添加到此集合中。创建 Cookie 时，需要指定 Name 和 Value。每个 Cookie 必须有一个唯一的名称，以便以后从浏览器读取 Cookie 时可以识别它。由于 Cookie 按名称存储，因此用相同的名称命名两个 Cookie 会导致其中一个 Cookie 被覆盖。

还可以设置 Cookie 的到期日期和时间。用户访问编写 Cookie 的站点时，浏览器将删除过期的 Cookie。只要应用程序认为 Cookie 值有效，就应将 Cookie 的有效期设置为这一段时间。对于永不过期的 Cookie，可将到期日期设置为从现在起 50 年。

注意

用户可随时清除其计算机上的 Cookie。即便存储的 Cookie 距到期日期还有很长时间，但用户还是可以决定删除所有 Cookie，清除 Cookie 中存储的所有设置。

如果没有设置 Cookie 的有效期，仍会创建 Cookie，但不会将其存储在用户的硬盘上。而会将 Cookie 作为用户会话信息的一部分进行维护。当用户关闭浏览器时，Cookie 便会被丢弃。这种非永久性 Cookie 很适合用来保存只需短时间存储的信息，或者保存由于安全原因不应该写入客户端计算机上的磁盘的信息。例如，如果用户在使用一台公用计算机，而您不希望将 Cookie 写入该计算机的磁盘中，这时就可以使用非永久性 Cookie。

例：

Response.Cookies["userName"].Value = "patrick";
Response.Cookies["userName"].Expires = DateTime.Now.AddDays(1);

HttpCookie aCookie = new HttpCookie("lastVisit");
aCookie.Value = DateTime.Now.ToString();
aCookie.Expires = DateTime.Now.AddDays(1);
Response.Cookies.Add(aCookie);

此示例向 Cookies 集合添加两个 Cookie，一个名为 userName，另一个名为 lastVisit。对于第一个 Cookie，Cookies 集合的值是直接设置的。可以通过这种方式向集合添加值，因为 Cookies 是从 NameObjectCollectionBase 类型的专用集合派生的。

对于第二个 Cookie，代码创建了一个 HttpCookie 类型的对象实例，设置其属性，然后通过 Add 方法将其添加到 Cookies 集合。在实例化 HttpCookie 对象时，必须将该 Cookie 的名称作为构造函数的一部分进行传递。

这两个示例都完成了同一任务，即向浏览器写入一个 Cookie。在这两种方法中，有效期值必须为 DateTime 类型。但是，lastVisited 值也是日期时间值。因为所有 Cookie 值都存储为字符串，因此，必须将日期时间值转换为 String。

 

 

多值 Cookie

可以在 Cookie 中存储一个值，如用户名和上次访问时间。也可以在一个 Cookie 中存储多个名称/值对。名称/值对称为子键。（

若要创建带子键的 Cookie，您可以使用编写单个 Cookie 的各种语法。下面的示例演示用于编写同一 Cookie 的两种方法，其中的每个 Cookie 都带有两个子键：

例：

Response.Cookies["userInfo"]["userName"] = "patrick";
Response.Cookies["userInfo"]["lastVisit"] = DateTime.Now.ToString();
Response.Cookies["userInfo"].Expires = DateTime.Now.AddDays(1);

HttpCookie aCookie = new HttpCookie("userInfo");
aCookie.Values["userName"] = "patrick";
aCookie.Values["lastVisit"] = DateTime.Now.ToString();
aCookie.Expires = DateTime.Now.AddDays(1);
Response.Cookies.Add(aCookie);

 

控制 Cookie 的范围

默认情况下，一个站点的全部 Cookie 都一起存储在客户端上

 

将 Cookie 限制到某个文件夹或应用程序

若要将 Cookie 限制到服务器上的某个文件夹，请按下面的示例设置 Cookie 的 Path 属性：

HttpCookie appCookie = new HttpCookie("AppCookie");
appCookie.Value = "written " + DateTime.Now.ToString();
appCookie.Expires = DateTime.Now.AddDays(1);
appCookie.Path = "/Application1";
Response.Cookies.Add(appCookie);

限制 Cookie 的域范围

默认情况下，Cookie 与特定域关联。

Response.Cookies["domain"].Value = DateTime.Now.ToString();
Response.Cookies["domain"].Expires = DateTime.Now.AddDays(1);
Response.Cookies["domain"].Domain = "support.contoso.com";

读取 Cookie

浏览器向服务器发出请求时，会随请求一起发送该服务器的 Cookie。注：读取时一定使用Request.Cookies[""]

if(Request.Cookies["userName"] != null)
    Label1.Text = Server.HtmlEncode(Request.Cookies["userName"].Value);

if(Request.Cookies["userName"] != null)
{
    HttpCookie aCookie = Request.Cookies["userName"];
    Label1.Text = Server.HtmlEncode(aCookie.Value);
}

更改 Cookie 的到期日期

浏览器负责管理 Cookie，而 Cookie 的到期时间和日期可帮助浏览器管理 Cookie 的存储。因此，虽然可以读取 Cookie 的名称和值，但无法读取 Cookie 的到期日期和时间。当浏览器向服务器发送 Cookie 信息时，并不包括有效期信息。（Cookie 的 Expires 属性始终返回值为 0 的日期时间值。）如果您担心 Cookie 的到期日期，必须重新设置该 Cookie

 

Cookie 和安全性

Cookie 的安全性问题与从客户端获取数据的安全性问题类似。在应用程序中，Cookie 是另一种形式的用户输入，因此很容易被他们非法获取和利用。由于 Cookie 保存在用户自己的计算机上，因此，用户至少能看到您存储在 Cookie 中的数据。用户还可以在浏览器向您发送 Cookie 之前更改该 Cookie。

千万不要在 Cookie 中存储敏感信息，如用户名、密码、信用卡号等等。不要在 Cookie 中放置任何不应由用户掌握的内容，也不要放可能被其他窃取 Cookie 的人控制的内容。

同样，不要轻信从 Cookie 中得到的信息。不要假定数据与您写出时相同；处理 Cookie 值时采用的安全措施应该与处理网页中用户键入的数据时采用的安全措施相同。本主题前面的示例演示在页面中显示值前，先对 Cookie 内容进行 HTML 编码的方法，这与在显示从用户处得到的任何信息之前的做法相同。

Cookie 以明文形式在浏览器和服务器间发送，任何可以截获 Web 通信的人都可以读取 Cookie。可以设置 Cookie 属性，使 Cookie 只能在使用安全套接字层 (SSL) 的连接上传输。SSL 并不能防止保存在用户计算机上的 Cookie 被读取或操作，但可防止 Cookie 在传输过程中被读取，因为 Cookie 已被加密。有关更多信息，请参见 Web 应用程序的基本安全实施策略。

确定浏览器是否接受 Cookie

用户可将其浏览器设置为拒绝接受 Cookie。在不能写入 Cookie 时不会引发任何错误。同样，浏览器也不向服务器发送有关其当前 Cookie 设置的任何信息。

注意

Cookies 属性不指示 Cookie 是否启用。它仅指示当前浏览器是否原本支持 Cookie。

确定 Cookie 是否被接受的一种方法是尝试编写一个 Cookie，然后再尝试读取该 Cookie。如果无法读取您编写的 Cookie，则可以假定浏览器不接受 Cookie。

下面的代码示例演示如何测试浏览器是否接受 Cookie。此示例由两个页面组成。第一个页面写出 Cookie，然后将浏览器重定向到第二个页面。第二个页面尝试读取该 Cookie。然后再将浏览器重定向回第一个页面，并将带有测试结果的查询字符串变量添加到 URL。

第一个页面的代码如下所示：

protected void Page_Load(object sender, EventArgs e)
{
    if (!Page.IsPostBack)
    {
        if (Request.QueryString["AcceptsCookies"] == null)
        {
            Response.Cookies["TestCookie"].Value = "ok";
            Response.Cookies["TestCookie"].Expires =
                DateTime.Now.AddMinutes(1);
            Response.Redirect("TestForCookies.aspx?redirect=" +
                Server.UrlEncode(Request.Url.ToString()));
        }
        else
        {
            Label1.Text = "Accept cookies = " +
                Server.UrlEncode(
                Request.QueryString["AcceptsCookies"]);
        }
    }
}

该页面首先测试以确定是不是回发，如果不是，则查找包含测试结果的查询字符串变量名 AcceptsCookies。如果不存在查询字符串变量，表示测试还未完成，因此代码会写出一个名为 TestCookie 的 Cookie。写出 Cookie 后，该示例调用 Redirect 来切换到 TestForCookies.aspx 测试页。附加到测试页 URL 的信息是一个名为 redirect 的查询字符串变量，该变量包含当前页的 URL；这样就能在执行测试后重定向回此页面。

测试页可完全由代码组成；不需要包含控件。下面的代码示例阐释了该测试页。

protected void Page_Load(object sender, EventArgs e)
{
    string redirect = Request.QueryString["redirect"];
    string acceptsCookies;
    if(Request.Cookies["TestCookie"] ==null)
        acceptsCookies = "no";
    else
    {
        acceptsCookies = "yes";
        // Delete test cookie.
        Response.Cookies["TestCookie"].Expires = 
            DateTime.Now.AddDays(-1);
    }
    Response.Redirect(redirect + "?AcceptsCookies=" + acceptsCookies,
    true);
}

读取重定向查询字符串变量后，代码尝试读取 Cookie。出于管理目的，如果该 Cookie 存在，则立即删除。测试完成后，代码通过 redirect 查询字符串变量传递给它的 URL 构造一个新的 URL。新 URL 也包括一个包含测试结果的查询字符串变量。最后一步是使用新 URL 将浏览器重定向到最初页面。

该示例的一个改进是可将 Cookie 测试结果保存到永久存储区（如数据库）中，这样就不必在用户每次查看最初页面时都重复进行测试。（默认情况下，在会话状态中存储测试结果需要 Cookie。）

Cookie 和会话状态

当用户导航到您的站点时，服务器为该用户建立唯一的会话，会话将一直延续到用户访问结束。ASP.NET 会为每个会话维护会话状态信息，应用程序可在会话状态信息中存储用户特定信息。有关更多信息，请参见会话状态概述主题。

ASP.NET 必须跟踪每个用户的会话 ID，以便可以将用户映射到服务器上的会话状态信息。默认情况下，ASP.NET 使用非永久性 Cookie 来存储会话状态。但是，如果用户已在浏览器上禁用 Cookie，会话状态信息便无法存储在 Cookie 中。

ASP.NET 提供了无 Cookie 会话作为替代。可以将应用程序配置为不将会话 ID 存储在 Cookie 中，而存储在站点中页面的 URL 中。如果应用程序依赖于会话状态，可以考虑将其配置为使用无 Cookie 会话。但是在较少的情况下，如果用户与他人共享 URL（可能是用户将 URL 发送给同事，而该用户的会话仍然处于活动状态），则最终这两个用户可能共享同一个会话，结果将难以预料。有关将应用程序配置为使用无 Cookie 会话的更多信息，请参见 ASP.NET 状态管理概述主题。