C++大前端
HTTP Cookie 深入解析：Web 会话追踪机制
深入解析了 HTTP Cookie 的定义、工作原理及分类，包括会话 Cookie 与持久 Cookie 的区别。详细阐述了 Cookie 的安全机制，如 Secure 和 HttpOnly 标志的作用，以及如何通过 Set-Cookie 头部控制生命周期和作用域。文章结合 C++ 代码示例，演示了如何在服务器端设置 Cookie、配置过期时间及路径限制，并分析了 Cookie 存储于客户端带来的安全风险。
深入解析了 HTTP Cookie 的定义、工作原理及分类，包括会话 Cookie 与持久 Cookie 的区别。详细阐述了 Cookie 的安全机制，如 Secure 和 HttpOnly 标志的作用，以及如何通过 Set-Cookie 头部控制生命周期和作用域。文章结合 C++ 代码示例，演示了如何在服务器端设置 Cookie、配置过期时间及路径限制，并分析了 Cookie 存储于客户端带来的安全风险。
HTTP Cookie（也称为 Web Cookie、浏览器 Cookie 或简称 Cookie）是服务器发送到用户浏览器并保存在浏览器上的一小块数据，它会在浏览器之后向同一服务器再次发起请求时被携带并发送到服务器上。通常，它用于告知服务端两个请求是否来自同一浏览器，如保持用户的登录状态、记录用户偏好等。
Set-Cookie 字段（如 Set-Cookie: user=zhangsan），用于发送 Cookie 到用户的浏览器。如果 cookie 是一个持久性的 cookie，那么它其实就是浏览器相关的特定目录下的一个文件。但直接查看这些文件可能会看到乱码或无法读取的内容，因为 cookie 文件通常以二进制或 sqlite 格式存储。一般我们查看，直接在浏览器对应的选项中直接查看即可。
由于 Cookie 是存储在客户端的，因此存在被篡改或窃取的风险。
例如在 Chrome 浏览器下，可以直接访问设置页面查看 Cookie。
HTTP 存在一个报头选项：Set-Cookie，可以用来给浏览器设置 Cookie 值。
当客户端（如浏览器）首次请求服务器资源时，服务器可能会在 HTTP 响应中包含一个或多个 Set-Cookie 头部。这些 Set-Cookie 头部指示客户端存储特定的信息（即 Cookie）。每个 Set-Cookie 头部都包含了 Cookie 的名称、值以及可选的属性，如过期时间（Expires/Max-Age）、作用域（Path）、安全性要求（Secure）、跨站策略（SameSite）以及是否只能通过 HTTP 接口访问（HttpOnly）等。
浏览器接收到包含 Set-Cookie 头部的 HTTP 响应后，会解析这些头部，并根据其中的指令将 Cookie 存储到本地。存储的 Cookie 会包含名称、值以及所有相关的属性。浏览器会根据 Cookie 的过期时间和其他属性来决定何时删除这些 Cookie。
当浏览器再次向同一服务器（或符合 Cookie 作用域的其他服务器）发送请求时，它会自动检查是否有与该请求相关的 Cookie。如果有，浏览器会将这些 Cookie 附加到 HTTP 请求的 Cookie 头部，并发送给服务器。服务器接收到请求后，可以从 Cookie 头部中读取这些 Cookie，并根据需要处理它们。
时间格式必须遵守 RFC 1123 标准，具体格式样例：Tue, 01 Jan 2030 12:34:56 GMT 或者 UTC（推荐）。
关于时间解释：
GMT 和 UTC 都曾是或现在是国际上重要的时间标准，但由于地球自转的不规则性和原子钟的精确性，UTC 已经成为了全球性的标准时间，而 GMT 则更多被用作历史和地理上的参考。
expires=<date>：设置 Cookie 的过期日期/时间。如果未指定此属性，则 Cookie 默认为会话 Cookie，即当浏览器关闭时过期。path=<some_path>：限制 Cookie 发送到服务器的哪些路径。默认为设置它的路径。domain=<domain_name>：指定哪些主机可以接受该 Cookie。默认为设置它的主机。secure：仅当使用 HTTPS 协议时才发送 Cookie。这有助于防止 Cookie 在不安全的 HTTP 连接中被截获。HttpOnly：标记 Cookie 为 HttpOnly，意味着该 Cookie 不能被客户端脚本（如 JavaScript）访问。这有助于防止跨站脚本攻击（XSS）。以下是对 Set-Cookie 头部字段的简洁介绍：
resp.AddHeader("Set-Cookie: username=zhangsan;"); // 响应中添加一行报头即可
这里要由我们自己形成 UTC 统一标准时间：
// 时间格式如：expires=Thu, 18 Dec 2024 12:00:00 UTC
std::string GetMonthName(int month) {
std::vector<std::string> months = {"Jan", "Feb", "Mar", "Apr", "May", "Jun", "Jul", "Aug", "Sep", "Oct", "Nov", "Dec"};
return months[month];
}
std::string GetWeekDayName(int day) {
std::vector<std::string> weekdays = {"Sun", "Mon", "Tue", "Wed", "Thu", "Fri", "Sat"};
return weekdays[day];
}
std::string ExpireTimeUseRfc1123(int t) // 秒级别的未来 UTC 时间
{
time_t timeout = time(nullptr) + t;
struct tm* tm = gmtime(&timeout); // 这里不能用 localtime，因为 localtime 是默认带了时区的。gmtime 获取的就是 UTC 统一时间
char timebuffer[1024];
// 时间格式如：expires=Thu, 18 Dec 2024 12:00:00 UTC
snprintf(timebuffer, sizeof(timebuffer), "%s, %02d %s %d %02d:%02d:%02d UTC",
GetWeekDayName(tm->tm_wday).c_str(),
tm->tm_mday,
GetMonthName(tm->tm_mon).c_str(),
tm->tm_year + 1900,
tm->tm_hour,
tm->tm_min,
tm->tm_sec);
return timebuffer;
}
提交到非 /a/b 路径下：
#pragma once
#include <iostream>
#include <string>
#include <sstream>
#include <vector>
#include <memory>
#include <ctime>
#include "TcpServer.hpp"
const std::string HttpSep = "\r\n"; // 可以配置的
const std::string homepage = "index.html";
const std::string wwwroot = "./wwwroot";
class HttpRequest {
public:
HttpRequest() : _req_blank(HttpSep), _path(wwwroot) {}
bool GetLine(std::string &str, std::string *line) {
auto pos = str.find(HttpSep);
if (pos == std::string::npos) return false;
*line = str.substr(0, pos); // \r\n
str.erase(0, pos + HttpSep.size());
return true;
}
bool Deserialize(std::string &request) {
std::string line;
bool ok = GetLine(request, &line);
if (!ok) return false;
_req_line = line;
while (true) {
bool ok = GetLine(request, &line);
if (ok && line.empty()) {
_req_content = request;
break;
} else if (ok && !line.empty()) {
_req_header.push_back(line);
} else {
break;
}
}
return true;
}
~HttpRequest() {}
private:
// http 报文自动
std::string _req_line; // method url http_version
std::vector<std::string> _req_header;
std::string _req_blank;
std::string _req_content;
// 解析之后的内容
std::string _method;
std::string _url; // /dira/dirb/x.html /dira/dirb/XX?usrname=100&&password=1234 /dira/dirb
std::string _http_version;
std::string _path; // "./wwwroot"
std::string _suffix; // 请求资源的后缀
};
const std::string BlankSep = " ";
const std::string LineSep = "\r\n";
class HttpResponse {
public:
HttpResponse() : _http_version("HTTP/1.0"), _status_code(200), _status_code_desc("OK"), _resp_blank(LineSep) {}
void SetCode(int code) { _status_code = code; }
void SetDesc(const std::string &desc) { _status_code_desc = desc; }
void MakeStatusLine() {
_status_line = _http_version + BlankSep + std::to_string(_status_code) + BlankSep + _status_code_desc + LineSep;
}
void AddHeader(const std::string &header) { _resp_header.push_back(header + LineSep); }
void AddContent(const std::string &content) { _resp_content = content; }
std::string Serialize() {
MakeStatusLine();
std::string response_str = _status_line;
for (auto &header : _resp_header) {
response_str += header;
}
response_str += _resp_blank;
response_str += _resp_content;
return response_str;
}
~HttpResponse() {}
private:
std::string _status_line;
std::vector<std::string> _resp_header;
std::string _resp_blank;
std::string _resp_content; // body
// httpversion StatusCode StatusCodeDesc
std::string _http_version;
int _status_code;
std::string _status_code_desc;
};
class Http {
private:
std::string GetMonthName(int month) {
std::vector<std::string> months = {"Jan", "Feb", "Mar", "Apr", "May", "Jun", "Jul", "Aug", "Sep", "Oct", "Nov", "Dec"};
return months[month];
}
std::string GetWeekDayName(int day) {
std::vector<std::string> weekdays = {"Sun", "Mon", "Tue", "Wed", "Thu", "Fri", "Sat"};
return weekdays[day];
}
std::string ExpireTimeUseRfc1123(int t) // 秒级别的未来 UTC 时间
{
time_t timeout = time(nullptr) + t;
struct tm* tm = gmtime(&timeout); // 这里不能用 localtime，因为 localtime 是默认带了时区的。gmtime 获取的就是 UTC 统一时间
char timebuffer[1024];
// 时间格式如：expires=Thu, 18 Dec 2024 12:00:00 UTC
snprintf(timebuffer, sizeof(timebuffer), "%s, %02d %s %d %02d:%02d:%02d UTC",
GetWeekDayName(tm->tm_wday).c_str(),
tm->tm_mday,
GetMonthName(tm->tm_mon).c_str(),
tm->tm_year + 1900,
tm->tm_hour,
tm->tm_min,
tm->tm_sec);
return timebuffer;
}
public:
Http(uint16_t port) {
_tsvr = std::make_unique<TcpServer>(port, std::bind(&Http::HandlerHttp, this, std::placeholders::_1));
_tsvr->Init();
}
std::string ProveCookieWrite() // 证明 cookie 能被写入浏览器
{
return "Set-Cookie: username=zhangsan;";
}
std::string ProveCookieTimeOut() {
return "Set-Cookie: username=zhangsan; expires=" + ExpireTimeUseRfc1123(60) + ";"; // 让 cookie 1min 后过期
}
std::string ProvePath() {
return "Set-Cookie: username=zhangsan; path=/a/b;";
}
std::string ProveOtherCookie() {
return "Set-Cookie: passwd=1234567890; path=/a/b;";
}
std::string HandlerHttp(std::string request) {
HttpRequest req;
req.Deserialize(request);
req.DebugHttp();
lg.LogMessage(Debug, "%s\n", ExpireTimeUseRfc1123(60).c_str());
HttpResponse resp;
resp.SetCode(200);
resp.SetDesc("OK");
resp.AddHeader("Content-Type: text/html");
// resp.AddHeader(ProveCookieWrite()); // 测试 cookie 被写入与自动提交
// resp.AddHeader(ProveCookieTimeOut()); // 测试过期时间的写入
// resp.AddHeader(ProvePath()); // 测试路径
resp.AddHeader(ProvePath());
resp.AddHeader(ProveOtherCookie());
resp.AddContent("<html><h1>helloworld</h1></html>");
return resp.Serialize();
}
void Run() { _tsvr->Start(); }
~Http() {}
private:
std::unique_ptr<TcpServer> _tsvr;
};
微信公众号「极客日志」，在微信中扫描左侧二维码关注。展示文案：极客日志 zeeklog
将字符串编码和解码为其 Base64 格式表示形式即可。 在线工具，Base64 字符串编码/解码在线工具，online
将字符串、文件或图像转换为其 Base64 表示形式。 在线工具，Base64 文件转换器在线工具，online
将 Markdown（GFM）转为 HTML 片段，浏览器内 marked 解析；与 HTML转Markdown 互为补充。 在线工具，Markdown转HTML在线工具，online
将 HTML 片段转为 GitHub Flavored Markdown，支持标题、列表、链接、代码块与表格等；浏览器内处理，可链接预填。 在线工具，HTML转Markdown在线工具，online
通过删除不必要的空白来缩小和压缩JSON。 在线工具，JSON 压缩在线工具，online
将JSON字符串修饰为友好的可读格式。 在线工具，JSON美化和格式化在线工具，online