引言

当我们在浏览一些网站的时候，总会弹出这样的窗口

这个网站会让你阅读其“cookie 政策”，并且进一步告诉你，这种跟踪是为了“提高”用户体验。
那么cookies到底是什么东西呢？希望看完这篇文章的你能够有所收获。

什么是Cookies？

Cookies，中文常被称为“小型文本文件”或“浏览器Cookies”，是网站为了识别用户而存储在用户计算机上的信息片段。它们是网站跟踪用户浏览活动的一种方式，通常包含诸如登录信息、购物车内容、个性化设置等数据。

Cookies的工作原理

当你访问一个使用Cookies的网站时，该网站会将一个或多个Cookies保存到你的浏览器中。这些文件通常包含了一些识别信息，例如用户ID或浏览偏好。当你再次访问同一个网站时，你的浏览器会把这些Cookies发送回服务器，从而允许网站“记住”你的信息和偏好。

Set-Cookie 和 Cookie 标头

服务器使用 Set-Cookie 响应头部向用户代理（一般是浏览器）发送 Cookie 信息。一个简单的 Cookie 可能像这样：

Set-Cookie: <cookie-name>=<cookie-value>

这指示服务器发送标头告知客户端存储一对 cookie：

HTTP/1.0 200 OK
Content-type: text/html
Set-Cookie: yummy_cookie=choco
Set-Cookie: tasty_cookie=strawberry

[页面内容]

现在，对该服务器发起的每一次新请求，浏览器都会将之前保存的 Cookie 信息通过 Cookie 请求头部再发送给服务器。

GET /sample_page.html HTTP/1.1
Host: www.example.org
Cookie: yummy_cookie=choco; tasty_cookie=strawberry

Cookies的类型

• 会话Cookies：这些Cookies仅在用户打开浏览器期间保持活动，关闭浏览器后它们会被删除。它们通常用于维护用户在网站上的会话。
• 持久性Cookies：这些Cookies会在用户的设备上保留更长时间，直到达到其设定的过期日期或被用户手动删除。它们用于记住用户的登录信息和偏好设置，以便在下次访问时自动加载。

Cookies的使用目的

• 用户认证：Cookies可用于记住用户的登录信息，使用户在访问网站时无需重复登录。
• 个性化体验：网站通过Cookies存储用户的浏览偏好、主题设置等，以提供更个性化的浏览体验。
• 跟踪和分析：Cookies帮助网站跟踪用户的浏览习惯，从而进行市场分析和改进网站设计。
• 广告目标：广告商使用Cookies来收集有关用户兴趣的数据，从而展示更相关的广告。

安全和隐私问题

虽然Cookies对于提高网站性能和用户体验至关重要，但它们也引发了关于用户隐私和安全的问题。一些Cookies可能被用于跟踪用户在不同网站上的活动，从而生成用户的详细个人资料。因此，许多国家和地区已经实施了法规，要求网站在使用Cookies之前获得用户的同意。

Cookies的更多功能和影响

• 购物车功能：在电子商务网站上，Cookies用于存储用户将商品添加到购物车中的信息，即使在关闭浏览器后再次访问网站时，这些信息仍然可用。
• 语言设置：Cookies可以记住用户的语言偏好，从而在下次访问时自动将网站翻译为用户选择的语言。
• 社交媒体集成：一些网站使用Cookies来支持社交媒体功能，如“分享”按钮，这些按钮允许用户在他们的社交网络上分享内容。
• 网站性能改进：通过分析Cookies中的数据，网站所有者可以了解哪些内容最受欢迎，哪些页面加载时间过长，从而对网站进行优化。

管理和删除Cookies

• 浏览器设置：大多数现代浏览器都允许用户查看、管理和删除存储在其设备上的Cookies。用户可以选择阻止所有Cookies，只接受第一方Cookies，或者每次当Cookies被设置时都发出警告。
• 使用隐私模式：大多数浏览器都提供“隐私”或“无痕”浏览模式，在这种模式下，Cookies在关闭浏览器窗口后会自动删除。
• 第三方工具：市面上也有一些专门的工具和浏览器扩展，用于更好地控制和管理Cookies。

JavaScript和Cookies

• 创建和访问Cookies：开发者可以通过Document.cookie属性在JavaScript中创建新的Cookie。例如：

  javascriptCopy code
  document.cookie = "yummy_cookie=choco";
  document.cookie = "tasty_cookie=strawberry";
  console.log(document.cookie);
  // 输出 "yummy_cookie=choco; tasty_cookie=strawberry"
  

  这种方式创建的Cookie不会包含HttpOnly标志，这意味着它们可以通过JavaScript脚本访问。

• 安全隐患：缺乏HttpOnly标志的Cookies容易受到跨站脚本攻击（XSS）的威胁，恶意脚本可能利用这一点窃取用户的Cookie信息。

安全建议

• 存储安全性：存储在Cookies中的信息是可以被访问和修改的。因此，对于敏感信息（如用户身份认证），应考虑使用不透明标识符或替代身份验证机制，如JSON Web Tokens。

• 防御措施：

1. 使用HttpOnly属性：启用HttpOnly属性可以防止JavaScript访问Cookie值，从而增加安全性。
2. 设置Cookie的生命周期：对于存储敏感信息的Cookies，应设置较短的有效期，并且将SameSite属性设置为Strict或Lax。在支持SameSite属性的浏览器中，这可以防止在跨站点请求中发送认证相关的Cookies，从而减少风险。

法律和规定

随着数字隐私意识的提高，许多国家和地区已经通过了严格的法律，要求网站在使用Cookies之前必须获得用户的明确同意。
涉及使用 Cookie 的法律或法规包括：

• 欧盟通用数据隐私法规（GDPR）
• 欧盟的电子隐私权指令
• 加州消费者隐私法

这些规定具有全球影响力。它们适用于这些司法管辖区的用户访问的万维网上的任何站点（欧盟和加利福尼亚，但请注意，加利福尼亚州的法律仅适用于总收入超过 2500 万美元的实体）

结论

总的来说，Cookies虽然是网络浏览的不可或缺的一部分，但也带来了隐私和安全方面的挑战。作为用户，了解Cookies的功能和影响，以及如何有效地管理它们，是非常重要的。同时，随着法律和规定的不断发展，用户的隐私权在网络空间中得到了更好的保护。

如果还想要更进一步了解，可以参考MDN中cookie的相关内容HTTP Cookie

有什么说的不对的地方欢迎在评论区批评指正~

创作不易，如果觉得写的不错，麻烦点个免费的赞吧！谢谢大家！

原文链接：https://juejin.cn/post/7321612587959336994 作者：雾野千里