UD5工具箱
Cookie
Cookie是Web服务器发送到用户浏览器并保存在本地的一小段数据。它会在浏览器下次向同一服务器发起请求时被携带并发送到服务器。Cookie主要用于状态管理，例如维持用户登录会话、存储用户偏好设置、跟踪用户行为等。Cookie以键值对的形式存储，每个Cookie都有名称、值以及一系列属性来控制其行为。Cookie的数据量通常限制在4KB左右，不同浏览器的具体限制可能有所不同。
Session Cookie（会话Cookie）
会话Cookie是指没有设置过期时间（Expires或Max-Age属性）的Cookie。这类Cookie仅在浏览器会话期间有效，当用户关闭浏览器时，会话Cookie会被自动删除。会话Cookie通常用于存储临时数据，例如页面间的导航状态或未提交的表单数据。由于会话Cookie在浏览器关闭后即被清除，因此不适合存储需要长期保留的数据。
Persistent Cookie（持久Cookie）
持久Cookie是指设置了过期时间（Expires或Max-Age属性）的Cookie。这类Cookie会在指定的日期或时间到达之前一直保留在用户的浏览器中，即使用户关闭浏览器也不会被删除。持久Cookie适用于需要长期记住用户状态的场景，例如"记住我"登录功能、用户偏好设置存储等。过期时间越长，Cookie在用户设备上保留的时间就越久。
Domain属性
Domain属性指定了Cookie所属的域名。当设置Domain属性后，该Cookie不仅在当前域名下可用，还会在其所有子域名下可用。例如，设置Domain为.example.com，则在sub.example.com下也可以访问该Cookie。如果不设置Domain属性，默认为当前域名（不包含子域名）。需要注意的是，浏览器不允许将Cookie设置为当前页面不属于的域名，这是出于安全考虑的限制。
Path属性
Path属性定义了Cookie的作用路径。只有当请求路径与Cookie的Path属性匹配时，浏览器才会在请求中携带该Cookie。Path属性用于将Cookie的作用范围限制在网站的特定部分。例如，将Path设置为/app/dashboard，则该Cookie只在/app/dashboard路径及其子路径下有效。默认的Path值为"/"，表示在整个域名下都有效。Path属性的匹配遵循前缀匹配规则。
Expires和Max-Age属性
Expires属性指定Cookie的过期日期，使用UTC时间格式。当浏览器检测到Cookie的过期日期已过时，会自动删除该Cookie。Max-Age属性指定Cookie从创建开始的最大存活时间（以秒为单位），优先级高于Expires。如果同时设置了Expires和Max-Age，浏览器优先使用Max-Age。如果两者都未设置，Cookie将成为会话Cookie，在浏览器关闭时被删除。
Secure属性
Secure属性是一个布尔标志，当设置后，Cookie只能通过HTTPS协议传输。在HTTP请求中，设置了Secure标志的Cookie不会被发送。这个属性对于保护Cookie中的敏感数据至关重要，可以防止Cookie在不安全的HTTP连接中被截获。在生产环境中，所有包含敏感信息的Cookie都应该设置Secure标志。注意：在localhost等开发环境中，Secure标志可能导致Cookie无法正常工作。
HttpOnly属性
HttpOnly属性是一个布尔标志，当设置后，Cookie不能通过JavaScript的document.cookie API访问。这个属性是防止XSS（跨站脚本攻击）的重要安全措施。即使攻击者能够注入恶意脚本到页面中，HttpOnly标志也能确保脚本无法读取Cookie内容。认证Cookie和会话Cookie强烈建议设置HttpOnly标志。设置HttpOnly后，只能通过HTTP请求头来读取和修改Cookie。
SameSite属性
SameSite属性控制Cookie在跨站请求中的发送行为，是防御CSRF（跨站请求伪造）攻击的重要机制。该属性有三个可选值：Strict表示Cookie永远不会在跨站请求中发送；Lax表示Cookie在大多数跨站请求中不会发送，但从外部站点链接导航到目标站点时会发送；None表示Cookie会在所有请求中发送，但必须同时设置Secure标志。现代浏览器默认将未设置SameSite的Cookie视为Lax。
Cookie Store API
Cookie Store API是W3C制定的现代Cookie操作接口，提供了异步的Cookie读写能力。与传统的document.cookie同步接口不同，Cookie Store API基于Promise，不会阻塞主线程。它还提供了change事件监听功能，可以在Cookie被修改时收到通知。Cookie Store API在Service Worker中也可用，使得后台脚本能够访问和修改Cookie。目前该API在Chrome和Edge中已得到支持。
CSRF（跨站请求伪造）
CSRF是一种Web安全攻击，攻击者诱导已登录用户的浏览器向目标网站发送非预期的请求。由于浏览器会自动携带Cookie，服务器会误认为这是用户的合法操作。SameSite属性是防御CSRF的主要浏览器端机制。此外，使用CSRF Token、检查Referer头、设置适当的CORS策略也是常见的防御手段。
XSS（跨站脚本攻击）
XSS是一种代码注入攻击，攻击者将恶意JavaScript代码注入到网页中执行。XSS攻击可以窃取Cookie中的敏感数据，因此HttpOnly和Secure属性对于Cookie安全至关重要。内容安全策略（CSP）是防御XSS的重要手段之一。输入验证和输出编码也是防止XSS攻击的基本措施。