Cookie、会话与身份状态
HTTP、Web 与浏览器原理#Python全栈#第九阶段#HTTP、Web 与浏览器原理#Cookie、会话与身份状态约 825 字 · 2 分钟阅读
追问显示点击任意追问卡片可收起 / 展开
Set-Cookie 与 Cookie 请求头怎样配合？
追问 谁发出设置指令，谁决定保存和后续发送？为什么不能只看响应里出现 Set-Cookie 就认定登录状态已建立？
Cookie 的 Domain 与 Path 怎样影响发送范围？
追问 不设置 Domain 与显式设置父域有什么区别？Path 是否适合作为隔离敏感数据的安全边界？
Cookie 是否像浏览器同源策略一样按端口隔离？
追问 同一主机不同端口的开发服务可能怎样共享 Cookie？使用 localhost 与 IP 地址又会有什么差别？
Secure 与 HttpOnly 分别限制什么？
追问 HttpOnly 是否阻止浏览器随请求发送 Cookie？为什么这些属性不能独自防止所有 XSS 或 CSRF 风险？
SameSite 的 Strict、Lax 与 None 怎样影响跨站发送？
追问 跨站顶层导航与跨站 fetch 为什么可能表现不同？None 通常还需什么属性，浏览器第三方 Cookie 策略又可能增加哪些限制？
同源与同站有什么区别？
追问 在现代 schemeful site 判断下，同协议的
app.example.com 与 api.example.com 是否同源、是否同站？端口和协议变化分别影响什么？Max-Age、Expires 与会话 Cookie 怎样影响有效期？
追问 两种过期设置同时出现时怎样判断？为何不能仅凭“关闭浏览器”就保证会话 Cookie 一定不可恢复？
删除 Cookie 为什么需要匹配其作用范围？
追问 同名但不同 Path 或 Domain 的 Cookie 怎样造成退出后仍携带旧值？怎样观察并清理正确记录？
Cookie 与 Session 是什么关系？
追问 服务端保存会话记录与客户端保存签名会话内容各有什么取舍？签名是否意味着内容已经加密？
登录、会话过期与退出登录应该怎样影响客户端和服务端状态？
追问 只清除页面变量或客户端 Cookie，为什么不一定使已复制的会话标识失效？如何区分浏览器状态与服务端有效性？
核对资料： MDN：Set-Cookie 响应头。