基于cookie的身份验证是如何工作的？

Question

有人能给我一个逐步描述如何基于cookie的身份验证工作吗？我从来没有做过任何涉及身份验证或cookie的事情。浏览器需要做什么？服务器需要做什么？按什么顺序？我们怎么保证东西安全？

Answer 1

cookie基本上只是字典中的一个条目。每个项目都有一个键和一个值。对于身份验证，密钥可以是类似于'username'的东西，而值将是用户名。每次向网站发出请求时，浏览器将在请求中包含Cookie，主机服务器将检查Cookie。所以身份验证可以像那样自动完成。

要设置cookie，您只需将其添加到服务器在请求后发回的响应中。然后，浏览器将在收到响应时添加cookie。

您可以为cookie服务器端配置不同的选项，如过期时间或加密。加密的cookie通常称为签名cookie。基本上，服务器对字典项中的密钥和值进行加密，因此只有服务器才能利用这些信息。这样cookie就安全了。

浏览器将保存服务器设置的cookie。在浏览器向该服务器发出的每个请求的HTTP头中，它将添加cookie。它将只为设置cookie的域添加cookie。example.com可以设置cookie并在HTTP头中添加选项，以便浏览器将cookie发送回子域，如sub.example.com。浏览器将cookie发送到不同的域是不可接受的。