0.37 Cookie 与 Session：网站怎么记住你是谁

第〇篇【零基础预科】免费。上一篇讲了 HTTP 报文，这一篇解决一个关键问题：HTTP 每次请求都是独立的，那为什么登录一次后，连续点几个页面网站都还认得你？

一、HTTP 是无状态的

HTTP 有个重要特性叫【无状态】（stateless）：服务器处理完一个请求就把它忘了，下一个请求到来时，并不知道它和上一个请求是不是同一个人发的。

这在单纯浏览公开页面时没问题，但登录、购物车这类场景必须【记住状态】。Cookie 和 Session 就是为了解决这个问题。

Cookie 是服务器通过响应下发、由浏览器保存的一小段数据，浏览器在之后访问同一网站时会自动把它放进请求头带回去。

第一次访问和后续访问的区别：

第1次请求：浏览器 → 服务器（没有 Cookie）
第1次响应：服务器 → 浏览器，Set-Cookie: id=abc123
第2次请求：浏览器 → 服务器，自动带上 Cookie: id=abc123

这样服务器就有了一个识别依据。Cookie 有几个常见属性：

直接把用户信息都放在 Cookie 里不安全（浏览器端可被查看、篡改），所以更常见的做法是：

可以类比去游泳馆：你把个人信息登记在前台（服务器端 Session），拿到一个手牌号码（Session ID）。之后每次凭手牌号码，前台就能查到你的资料。手牌本身不含敏感信息，丢了别人也未必能立刻冒充，但号码仍需保护。

把前面的知识串起来，一次登录的完整过程：

这就是为什么登录一次后，连续访问多个页面都保持登录态——浏览器一直在用 Cookie 里的那个标识证明身份，直到 Cookie 过期或你主动退出。

会话标识一旦被盗，攻击者就可能冒充你的身份，这是很多攻击的核心目标：

XSS 窃取 Cookie：如果页面存在跨站脚本漏洞，恶意脚本能读取未加 HttpOnly 保护的 Cookie。给 Cookie 加 HttpOnly 是基础防护。
会话固定：攻击者诱导你使用他指定的 Session ID，等你登录后他凭此 ID 冒充。安全的做法是登录后重新生成 Session ID。
明文传输：在 HTTP 下 Cookie 可能被中途截获，应使用 HTTPS。
公用电脑：用完要主动退出，清除会话，避免下一个人直接进入你的账号。

测试中经常需要观察：登录后 Cookie 里多了哪个字段、它有什么属性、退出后是否失效。这些细节直接关系到认证机制是否安全。