UD5工具箱
专业术语解释
在使用Cookie管理工具时，您会接触到许多与Web技术相关的专业术语。以下是这些术语的详细解释，帮助您更好地理解Cookie的工作原理和安全机制。
Cookie
Cookie是服务器发送到用户浏览器并保存在本地的一小段数据（通常不超过4KB）。浏览器在后续向同一服务器发送请求时，会自动携带这些Cookie数据。Cookie主要用于会话管理（如维持用户登录状态）、个性化设置（如记住用户的主题偏好）、行为追踪（如网站分析和广告投放）等场景。Cookie通过HTTP协议的Set-Cookie响应头由服务器设置，浏览器则通过Cookie请求头将其回传给服务器。
会话Cookie（Session Cookie）
会话Cookie是指没有设置Expires或Max-Age属性的Cookie。这类Cookie仅在浏览器打开期间有效，当用户关闭浏览器时，会话Cookie会被自动删除。会话Cookie通常用于存储临时性的会话数据，如购物车内容、未保存的表单数据等。由于会话Cookie不会持久化到硬盘上，因此安全性相对较高，但也意味着用户需要重新建立会话。
持久Cookie（Persistent Cookie）
持久Cookie是指设置了Expires或Max-Age属性的Cookie。这类Cookie会在浏览器关闭后继续保存在用户设备的硬盘上，直到达到设定的过期时间才会被删除。持久Cookie常用于"记住我"功能、用户偏好设置的长期保存、追踪用户行为等场景。持久Cookie的过期时间可以精确到秒，Max-Age属性指定Cookie的有效秒数，Expires属性则指定一个具体的过期日期时间。
Secure属性
Secure属性是一个布尔型安全属性，当Cookie设置了Secure标记后，浏览器只会通过HTTPS加密连接发送该Cookie，不会通过不安全的HTTP明文连接传输。这可以有效防止中间人攻击在网络传输过程中窃取Cookie数据。在本工具中，Secure属性会以醒目的标签形式展示，帮助用户快速识别哪些Cookie受到了传输层加密保护。
HttpOnly属性
HttpOnly是一个重要的安全属性，当Cookie设置了HttpOnly标记后，JavaScript脚本将无法通过document.cookie API访问该Cookie。这是一种防御XSS（跨站脚本攻击）攻击的有效手段，即使攻击者成功注入了恶意脚本，也无法窃取受HttpOnly保护的Cookie数据。需要注意的是，HttpOnly属性不会影响Cookie在HTTP请求中的自动发送，浏览器仍然会在请求中携带该Cookie。
SameSite属性
SameSite属性用于控制Cookie在跨站请求中的发送行为，是防御CSRF（跨站请求伪造）攻击的关键安全机制。它有三个可选值：Strict（严格模式）表示Cookie不会在任何跨站请求中发送；Lax（宽松模式）表示Cookie在顶级导航请求和GET请求中发送，其他跨站请求不发送；None（无限制）表示Cookie会在所有请求中发送，但必须同时设置Secure属性。现代浏览器默认将未设置SameSite的Cookie视为Lax模式。
Path（路径）
Cookie的Path属性定义了Cookie的作用范围路径。只有当请求的URL路径与Cookie的Path属性匹配时，浏览器才会在请求中携带该Cookie。Path属性支持前缀匹配，即路径为/的Cookie会在所有路径的请求中发送，而路径为/user/profile的Cookie只会在/user/profile及其子路径的请求中发送。正确设置Cookie的Path属性可以缩小Cookie的暴露范围，增强安全性。
Domain（域名）
Cookie的Domain属性定义了Cookie所属的域名。浏览器只会向匹配Domain属性的域名发送Cookie。如果未设置Domain属性，Cookie的Domain默认为当前域名（不包含子域名）。如果设置了Domain属性为.example.com，则该Cookie会在example.com及其所有子域名（如www.example.com、api.example.com）的请求中发送。需要注意的是，浏览器不允许将Cookie的Domain设置为非注册域，这是一个重要的安全限制。
CSRF（跨站请求伪造）
CSRF（Cross-Site Request Forgery）是一种常见的Web安全攻击方式。攻击者通过构造恶意页面，诱导已登录用户的浏览器向目标网站发送请求。由于浏览器会自动携带目标网站的Cookie，服务器会误认为这是用户的合法操作。SameSite属性是防御CSRF攻击的重要手段之一，通过限制Cookie在跨站请求中的发送来阻止攻击。此外，使用CSRF Token也是常见的防护方案。
XSS（跨站脚本攻击）
XSS（Cross-Site Scripting）是一种代码注入攻击。攻击者在网页中注入恶意的JavaScript脚本，当其他用户浏览该页面时，恶意脚本会在用户的浏览器中执行。XSS攻击可以窃取用户的Cookie数据、劫持会话、篡改页面内容。HttpOnly属性是防御XSS攻击窃取Cookie的有效手段，设置了HttpOnly的Cookie不会被JavaScript访问。此外，输入验证、输出编码、Content Security Policy等也是重要的XSS防御措施。
Set-Cookie响应头
Set-Cookie是HTTP响应头字段，服务器通过它来设置浏览器中的Cookie。一个Set-Cookie头可以设置一个Cookie的名称、值以及各项属性（如过期时间、路径、域名、安全属性等）。服务器可以在一个HTTP响应中发送多个Set-Cookie头来设置多个Cookie。浏览器接收到Set-Cookie头后，会将对应的Cookie保存起来，并在后续的请求中自动携带。通过浏览器开发者工具的网络面板，可以查看服务器发送的所有Set-Cookie头。
Cookie存储机制
浏览器中的Cookie存储在本地文件系统中，具体存储位置因浏览器和操作系统而异。会话Cookie存储在内存中，浏览器关闭后即消失；持久Cookie则存储在硬盘上，通常以加密或明文的形式保存在浏览器的Cookie数据库中。每个域名下的Cookie数量和大小都有限制，通常单个Cookie不超过4096字节，每个域名下可存储50到180个Cookie（具体限制因浏览器而异）。当Cookie数量超出限制时，浏览器可能会按照LRU（最近最少使用）算法淘汰旧Cookie。