一文带你了解cookiecookie 问题假设服务器有一个接口，通过请求这个接口，可以添加一个管理员，不是任何人都有这

cookie

假设服务器有一个接口，通过请求这个接口，可以添加一个管理员，不是任何人都有这个权利。

那么，服务器如何知道请求接口的人是有权利的？答案：只有登录过的管理员才有这个权利

客户端和服务端使用的是http协议，http协议是无状态的，什么是无状态，服务器不知道这一次的请求人，跟之前登录请求成功的人是不是同一个。

cookie相当于证件

用户不可能只在一个网站登录，于是客户端会收到各个网站的出入证，因此，就要求客户端有一个类似卡包的东西，能具备以下功能：

满足以上要求的就是，cookie

cookie是一个卡包，并有一套机制自动管理证件。

卡包内的每一张卡片，就是一个cookie

当浏览器向服务器发送一个请求的时候，会瞄一眼卡包，查看这个的cookie，看看哪些卡片能带过去

如果一个cookie满足以下条件，则这个cookie会被附带到请求中

cookie没有过期
cookie中的域和这个请求的域，是匹配的
- 比如cookie的域是，.baidu.com，可以匹配的域是 baidu.com，www.baidu.com，new.baidu.com
- 比如cookie的域是，www.baidu.com，则只可以匹配，www.baidu.com
- cookie不在乎端口，只要域匹配则可以
cookie中的path和这次请求的path是匹配的
- 比如cookie的path是/news，则可以匹配的请求路径是 /news，/news/detail/，/new/a/b/v
- 如果是 / 则可以匹配全部
验证cookie的安全传输
- 如果cookie的secure是true，则请求的协议必须是https，否则不会发送cookie
- 如果cookie的secure是false，则请求的协议可以是http，也可以是https

如果一个cookie满足以上条件，则这个cookie会被附带到请求中

具体的加入方式是，浏览器会将符合条件的cookie自动设置到请求头中，例如 Cookie: a=1;b=2

当你请求成功后，服务区可以通过设置响应头，告诉浏览器如何设置cookie

响应头按照下面的格式设置：

set-cookie：cookie1
set-cookie：cookie2
set-cookie：cookie3
...

通过这种模式就可以设置cookie，每个cookie的格式如下

键=值；path=?; domain=?; expires=?; max-age=?; secure; httponly;

每个cookie除了键值对必须设置，其他都是可以选的，顺序不限

如果max-age和expire都没有设置，表示到期时间是，浏览器回话结束时，关闭了浏览器cookie就会失效

如果设置了 httponly，表示cookie只能用于传输，不允许客户端通过JS获取cookie，这对XSS跨站脚本攻击的时候会很有用。

删除cookie，就是去修改cookie，把cookie的max-age改成-1

set-cookie: token=; domain=.baidu.com; path=/; max-age=-1;

如果删除cookie，都要注意cookie的域和路径，因为可能存在，域和路径不同，但key相同的cookie

浏览器向JS公开了接口，让JS可以设置cookie

document.cookie = "键=值；path=?; domain=?; expires=?; max-age=?; secure; "

和服务器设置cookie有以下区别：

读取cookie，document.cookie就可以读取cookie

如果把cookie用于登录场景，就是如下的流程：

登录请求

后序请求