http学习 cookie
无状态的http协议
http是无状态的，这即是优点也是缺点。优点是服务器没有状态差异，可以很容易的组成集群。缺点是无法记录需要状态记录的事务操作。
HTTP 协议是可扩展的，后来发明的 Cookie 技术，给 HTTP 增加了“记忆能力”。
什么是cookie
cookie来源于计算机编程里的术语『magic cookie』，意思是不透明的数据。
Cookie 是服务器委托浏览器存储的一些数据，让服务器有了“记忆能力”；
早期的cookie直接就是磁盘上的一些小的文本文件，现在通常是以数据库记录的形式存放（一般是sqlite）。浏览器对cookie的 大小和数量也有限制，不允许无限存储，一般大小不超过4k。
cookie的工作过程
需要用到响应头字段：Set-Cookie和请求头字段Cookie
1、客户端第一次请求时，没有cookie信息，服务器收到后响应报文里返回cookie信息。在头字段Set-Cookie中以key-value键值对存储
2、客户端收到响应后，若Set-Cookie字段不为空，则将Cookie信息存在本地（一般是浏览器中），下一次请求时会将存储的Cookie信息放到头字段Cookie中发送给服务器，多个键值对中间用“;”隔开
3、服务器再一次收到请求后，通过Cookie字段就能识别出该次请求的身份信息
Cookie的属性
cookie的生存周期
Cookie 的有效期可以使用 Expires 和 Max-Age 两个属性来设置。
Expires：过期时间，是一个绝对时间点，截止日期
Max-Age：用的是相对时间，单位是秒，浏览器用收到报文的时间点再加上 Max-Age，就可以得到失效的绝对时间。
Expires 和 Max-Age 可以同时出现，两者的失效时间可以一致，也可以不一致，但浏览器会优先采用 Max-Age 计算失效期。
Cookie 的安全性
HttpOnly：属性“HttpOnly”会告诉浏览器，此 Cookie 只能通过浏览器 HTTP 协议传输，禁止其他方式访问，浏览器的 JS 引擎就会禁用 document.cookie 等一切相关的 API，脚本攻击也就无从谈起了。
SameSite：可以防范“跨站请求伪造”（XSRF）攻击，设置成“SameSite=Strict”可以严格限定 Cookie 不能随着跳转链接跨站发送，而“SameSite=Lax”则略宽松一点，允许 GET/HEAD 等安全方法，但禁止 POST 跨站发送。
Secure：表示这个 Cookie 仅能用 HTTPS 协议加密传输，明文的 HTTP 协议会禁止发送。但 Cookie 本身不是加密的，浏览器里还是以明文的形式存在。
cookie的应用
Cookie 最基本的一个用途就是身份识别，保存用户的登录信息，实现会话事务。
比如，你用账号和密码登录某电商，登录成功后网站服务器就会发给浏览器一个 Cookie，内容大概是“name=yourid”，这样就成功地把身份标签贴在了你身上。
之后你在网站里随便访问哪件商品的页面，浏览器都会自动把身份 Cookie 发给服务器，所以服务器总会知道你的身份，一方面免去了重复登录的麻烦，另一方面也能够自动记录你的浏览记录和购物下单（在后台数据库或者也用 Cookie），实现了“状态保持”。
Cookie 的另一个常见用途是广告跟踪。
网站的页面里会嵌入很多广告代码，里面就会访问广告商，在浏览器里存储广告商的cookie。
你换到其他网站，上面也有这个广告商的广告代码，因为都是一个广告商网站，自然就能够读取之前设置的cookie，也就获得了你的信息。
比如 某个网站插入了谷歌的广告，用户加载谷歌广告后(访问的是谷歌的服务器，自然下发了谷歌的cookie), 那么下次用户去其他有谷歌广告的网站上网，这次请求广告会带上之前谷歌的cookie, 谷歌就可以根据这个cookie中的信息来推荐广告给用户
cookie的缺点
（1） 不安全。如果被中间人获取到 Cookie，完全将它作为用户凭证冒充用户。解决方案是使用 https 进行加密。
（2）有数量和大小限制。另外 Cookie 太大也不好，传输的数据会变大。
（3）客户端可能不会保存 Cookie。比如用 telnet 收发数据，用户禁用浏览器 Cookie 保存功能的情况。
问答
1、如果 Cookie 的 Max-Age 属性设置为 0，会有什么效果呢？
答：如果 Max-Age 设置为0，浏览器中该 Cookie 失效，即便这个 Cookie 已存在于浏览器中，且尚未过期。另外 Web 应用开发中，可以通过这种方式消除掉用户的登陆状态，此外记得在服务器的 session 中移除该 cookie 和其对应的用户信息。
2、Max-age：-1 的时候会永久有效吧 ？
答：rfc里有说明，如果max-age <=0，统一按0算，立即过期。
3、既然max-age=0会立即失效，那不就等于无记忆了？那干嘛还用cookie？
答：max-age=0是指不能缓存，但在会话期间是可用的，浏览器会话关闭之前可以用cookie记录用户的信息。
