燕家猫1. HTTP无状态性与身份认证的诞生
HTTP协议的无状态特性就像一位健忘的便利店店员——每次你走进店铺，他都会把你当作全新顾客对待。这种设计源于HTTP最初的文档传输定位，却给现代Web应用带来了巨大挑战。想象每次刷新页面都需要重新登录，电商购物车永远无法保存商品，这种体验显然无法满足今天的互联网需求。
2000年前后，随着电子商务的兴起，网景公司率先提出了Cookie技术规范（RFC 2109），为HTTP注入了"记忆能力"。但早期的实现存在严重安全隐患，直到2011年RFC 6265规范发布，才确立了现代Cookie的安全标准。与此同时，Session技术作为服务器端的会话管理方案逐渐成熟，二者共同构成了Web身份认证的基石。
需要模型API调用？ 免费领10W Token，多模型网关一键接入 Claude、DeepSeek 等主流模型。
2. Cookie技术深度解析
2.1 Cookie的运作机制
当浏览器首次访问服务器时，服务器通过Set-Cookie响应头下发Cookie数据包。这个过程中有几个关键控制参数：
- Expires/Max-Age：定义Cookie有效期（会话级或持久性）
- Domain/Path：限定Cookie的作用域范围
- Secure：仅允许HTTPS协议传输
- HttpOnly：禁止JavaScript访问
http复制HTTP/1.1 200 OK
Set-Cookie: session_id=abc123; Domain=.example.com; Path=/; Secure; HttpOnly; SameSite=Lax
2.2 Cookie的安全攻防实战
XSS攻击是最常见的Cookie窃取手段。攻击者通过注入恶意脚本获取document.cookie内容。防御方案包括：
- 始终设置HttpOnly属性
- 实现CSP（内容安全策略）限制脚本执行
- 对Cookie值进行HMAC签名
CSRF攻击则利用浏览器自动携带Cookie的特性。防御措施包括：
- 设置SameSite=Strict/Lax
- 添加CSRF Token二次验证
- 关键操作要求重新认证
关键经验：生产环境必须同时启用Secure+HttpOnly+SameSite三重防护，这是Web安全的基本要求。