UD5工具箱
什么是Cookie？它的主要用途有哪些？
Cookie是Web浏览器存储在用户本地设备上的小型文本数据片段，由Web服务器通过HTTP响应头设置。Cookie的主要用途包括：会话管理，用于维持用户的登录状态、购物车内容、游戏进度等需要跨请求保存的数据；个性化设置，记住用户的主题偏好、语言选择、字体大小等界面配置；行为跟踪，记录用户的浏览历史和点击行为，用于网站分析和广告定向；安全认证，存储身份验证令牌，实现"记住我"等持久登录功能。Cookie的数据大小通常限制在4KB左右，这是为了确保HTTP请求头不会过大而影响网络传输效率。当用户访问网站时，浏览器会自动将匹配域名和路径的Cookie附带在HTTP请求头中发送给服务器，服务器通过读取Cookie来识别用户身份和获取相关数据。
Cookie有哪些核心属性？各自有什么作用？
Cookie拥有多个标准属性来控制其行为。Name（名称）是Cookie的标识符，同一域名下名称不同的Cookie视为不同的Cookie。Value（值）是Cookie存储的数据内容，可以是任意字符串。Domain（域名）指定Cookie所属的域名，决定Cookie在哪些域名下可见，设置为.example.com则在所有子域名下生效。Path（路径）指定Cookie的作用路径，决定Cookie在网站的哪些路径下发送。Expires和Max-Age（过期时间）指定Cookie的有效期，未设置则为会话Cookie。Secure是布尔标志，设置后Cookie仅通过HTTPS传输。HttpOnly是布尔标志，设置后禁止JavaScript通过document.cookie访问Cookie。SameSite控制Cookie在跨站请求中的发送行为，有Strict、Lax、None三个值。合理设置这些属性对于保证Cookie的功能正确性和安全性至关重要。
SameSite属性的Strict、Lax、None三个值有什么区别？
SameSite属性控制Cookie在跨站请求中的发送行为，是防御CSRF攻击的重要机制。Strict值表示Cookie完全不会在跨站请求中发送，即使用户通过外部链接访问目标网站也不会携带Cookie，这意味着用户从外部链接进入网站时将处于未登录状态，需要重新登录，这是最安全的设置但可能影响用户体验。Lax是现代浏览器的默认值，Cookie在大多数跨站请求中不会发送，但在通过顶层导航（点击链接、地址栏输入、GET表单提交）访问目标站点时会发送，通过img、iframe、fetch等发起的跨站请求不会携带Cookie，Lax在安全性和用户体验之间取得了较好的平衡。None表示Cookie在所有请求中都会发送包括跨站请求，但使用None时必须同时设置Secure标志，否则浏览器会拒绝设置该Cookie，None适用于需要在跨域场景下工作的Cookie，例如嵌入在第三方页面中的内容。建议大多数Cookie使用Lax值，仅在确实需要跨站发送时才使用None，Strict适用于对安全性要求极高的场景。
如何正确删除一个Cookie？
删除Cookie的正确方法是将Cookie的过期时间设置为过去的时间。具体操作是将Cookie的Expires属性设置为一个已经过去的日期，或者将Max-Age设置为0或负数，浏览器在检测到Cookie已过期后会自动将其删除。需要注意以下要点：删除Cookie时必须指定与创建时完全相同的Domain和Path，否则浏览器不会将其删除，因为不同Domain和Path下的Cookie被视为不同的Cookie；如果使用JavaScript的document.cookie来删除Cookie，需要同时将Expires设置为过去时间并将值设为空字符串；使用开发者Cookie编辑器可以直观地选择目标Cookie并一键删除，无需手动编写代码；HttpOnly标志的Cookie无法通过JavaScript删除，需要通过服务端设置HTTP响应头来操作；在实际开发中建议使用封装好的Cookie操作库来处理Cookie的增删改查，避免手动处理Domain和Path匹配的细节问题。
Cookie、LocalStorage和SessionStorage有什么区别？
这三种浏览器存储机制各有特点和适用场景。Cookie的数据大小限制约4KB，随每次HTTP请求自动发送到服务器，支持设置过期时间，可通过服务端HTTP响应头和客户端JavaScript两种方式设置，适用于需要在客户端和服务端之间共享的数据如身份验证令牌和会话标识。LocalStorage的数据大小限制通常为5-10MB，不会随请求发送到服务器，数据永不过期除非手动清除，仅在客户端可用，适用于需要在客户端长期存储的大量数据如用户偏好设置和应用配置。SessionStorage的数据大小限制与LocalStorage相当，不会随请求发送到服务器，数据在页面会话结束时自动清除即关闭标签页即失效，同一站点的不同标签页之间数据互不共享，适用于临时数据存储如表单的临时保存数据。选择哪种存储方式取决于具体需求：需要服务端读取的数据用Cookie，需要持久化的客户端数据用LocalStorage，临时数据用SessionStorage。在安全性方面，Cookie支持HttpOnly标志防止XSS攻击读取，而LocalStorage和SessionStorage没有此保护机制。
Cookie有哪些安全最佳实践？
为了保障Cookie的安全性，建议遵循以下最佳实践。使用Secure标志，所有包含敏感信息的Cookie都应该设置Secure标志，确保仅通过HTTPS传输，防止Cookie在不安全的HTTP连接中被中间人攻击截获。使用HttpOnly标志，认证和会话Cookie应该设置HttpOnly标志，防止XSS攻击通过JavaScript窃取Cookie内容，即使页面被注入恶意脚本也无法读取Cookie数据。设置SameSite属性，合理设置SameSite值以防御CSRF攻击，大多数场景下Lax是合适的默认值，Strict适用于对安全性要求极高的场景。设置合理的过期时间，避免设置过长的过期时间特别是对于敏感Cookie，短期有效的Cookie即使被窃取危害也相对有限。避免在Cookie中存储密码、信用卡号等高度敏感信息，Cookie是纯文本格式即使设置了HttpOnly服务端也可以读取。使用内容安全策略（CSP）限制页面中可以执行的脚本来源，减少XSS攻击的风险。实施Cookie前缀机制，使用__Secure-和__Host-前缀来强制执行安全属性，增强Cookie的安全性。
为什么有时候Cookie设置后不生效？
Cookie设置后不生效通常由多种原因导致。域名不匹配是最常见的原因，Cookie的Domain属性必须与当前页面的域名匹配，注意Domain会包含子域名设置为.example.com则会在所有子域名下生效但不会在父域名生效。路径不匹配，请求路径必须在Cookie的Path属性范围内，例如Path为/dashboard时在/about页面不会发送该Cookie。Secure标志冲突，在HTTP页面上设置Secure标志的Cookie不会被存储必须在HTTPS页面上设置。SameSite限制，跨站请求可能因为SameSite属性的限制而不携带Cookie。浏览器隐私设置，某些浏览器的隐私模式或扩展程序可能会阻止Cookie的设置和发送。Cookie大小超限，单个Cookie的数据超过浏览器限制（约4KB）时会被忽略。过期时间已过，如果Expires设置为过去的时间Cookie会被立即过期删除。使用开发者Cookie编辑器可以直观地查看当前页面所有Cookie的属性，帮助快速定位Cookie不生效的原因。
Cookie的大小和数量有限制吗？
Cookie确实存在大小和数量方面的限制，具体取决于浏览器的实现。单个Cookie大小通常限制在4KB左右，这包括名称、值和所有属性的总大小，不同浏览器的具体限制可能略有差异。每域名Cookie数量，大多数浏览器限制每个域名下最多50个Cookie，超过限制后新的Cookie可能无法设置或者最旧的Cookie会被替换。总Cookie数量，浏览器通常限制总的Cookie数量在3000到5000个左右。请求头大小，所有Cookie在HTTP请求头中传输，请求头的总大小也有限制通常为8KB，过多的Cookie可能导致请求头超限影响网络传输效率。如果需要存储大量数据建议使用LocalStorage或IndexedDB，它们提供更大的存储空间LocalStorage通常5-10MB IndexedDB可以更大，Cookie更适合存储少量关键数据如会话标识和用户偏好。在实际开发中应该合理规划Cookie的使用，避免不必要的Cookie占用存储空间和传输带宽。