一、 導讀
本文大綱
- 讀取HTTP Cookie
- 設置HTTP Cookie
- 讀取所有Cookie[]
- 為Cookie設置過期時間
- Https與Cookie
- HttpOnly Cookie
- 刪除Cookie
HTTP Cookie（也稱為Web cookie，瀏覽器cookie）是服務器在用戶瀏覽器中存儲的小部分數據。服務器端應用程序在返回瀏覽器請求響應的時候設置cookie，瀏覽器存儲cookie，並將它們在下一個請求一起發送的時候自動帶回服務器端應用程序。
Cookies提供了一種在服務器和瀏覽器之間交換信息的方法，以管理會話（登錄，購物車，游戲得分），記住用戶首選項（主題，隱私策略接受）以及跟蹤整個站點的用戶行為。Cookies在一定程度上解放了服務器端的壓力，因為將一部分數據放在瀏覽器端存儲，所以這部分數據不能是涉及應用安全的數據。在本文中，我們將學習如何在Spring Boot應用程序中讀取、設置和刪除HTTP cookie。
二、讀取HTTP Cookie
Spring框架提供@CookieValue注釋來獲取HTTP cookie的值，此注解可直接用在控制器方法參數中。
@GetMapping("/")
public String readCookie(@CookieValue(value = "username",
defaultValue = "Atta") String username) {
return "Hey! My username is " + username;
}
在上述代碼段中，請注意defaultValue = "Atta"。如果沒有設置默認值，並且沒有找到名稱為username的Cookie，Spring將拋出java.lang.IllegalStateException異常。
三、設置HTTP Cookie
要在Spring Boot中設置cookie，我們可以使用HttpServletResponse類的方法addCookie()。您需要做的就是創建一個新的Cookie對象並將其添加到響應中。
@GetMapping("/change-username")
public String setCookie(HttpServletResponse response) {
// 創建一個 cookie對象
Cookie cookie = new Cookie("username", "Jovan");
//將cookie對象加入response響應
response.addCookie(cookie);
return "Username is changed!";
}
四、讀取所有Cookie[]
除了使用@CookieValue注解，我們還可以使用HttpServletRequest類作為控制器方法參數來讀取所有cookie。此類提供了getCookies()方法，該方法以數組形式返回瀏覽器發送的所有cookie。
@GetMapping("/all-cookies")
public String readAllCookies(HttpServletRequest request) {
Cookie[] cookies = request.getCookies();
if (cookies != null) {
return Arrays.stream(cookies)
.map(c -> c.getName() + "=" + c.getValue())
.collect(Collectors.joining(", "));
}
return "No cookies";
}
五、為Cookie設置過期時間
如果沒有為cookie指定過期時間，則其生命周期將持續到Session過期為止。這樣的cookie稱為會話cookie。會話cookie保持活動狀態，直到用戶關閉其瀏覽器或清除其cookie。但是您可以覆蓋此默認行為，並使用類的setMaxAge()方法設置cookie的過期時間。
// 創建一個 cookie對象
Cookie cookie = new Cookie("username", "Jovan");
cookie.setMaxAge(7 * 24 * 60 * 60); // 7天過期
//將cookie對象加入response響應
response.addCookie(cookie);
現在，usernameCookie不會因為Seesion結束到期，而是會在接下來的7天保持有效。傳遞給setMaxAge()方法的到期時間以秒為單位。到期日期和時間是相對於設置cookie的客戶端而不是服務器而言的。
六、Https與Cookie
我們需要了解一個概念：什么的安全的Cookies？安全的cookie是僅可以通過加密的HTTPS連接發送到服務器的cookie。無法通過未加密的HTTP連接將cookie發送到服務器。也就是說，如果設置了setSecure(true)，該Cookie將無法在Http連接中傳輸，只能是Https連接中傳輸。
// 創建一個 cookie對象
Cookie cookie = new Cookie("username", "Jovan");
cookie.setSecure(true); //Https 安全cookie
//將cookie對象加入response響應
response.addCookie(cookie);
七、HttpOnly Cookie
HttpOnly cookie用於防止跨站點腳本（XSS）攻擊，也就是說設置了Http Only的Cookie不能通過JavaScript的Document.cookieAPI訪問，僅能在服務端由服務器程序訪問。
// 創建一個 cookie對象
Cookie cookie = new Cookie("username", "Jovan");
cookie.setHttpOnly(true); //不能被js訪問的Cookie
//將cookie對象加入response響應
response.addCookie(cookie);
八、刪除Cookie
要刪除Cookie，需要將Max-Age設置為0，並且將Cookie的值設置為null。不要將Max-Age指令值設置為-1負數。否則，瀏覽器會將其視為會話cookie。
// 將Cookie的值設置為null
Cookie cookie = new Cookie("username", null);
//將`Max-Age`設置為0
cookie.setMaxAge(0);
response.addCookie(cookie);
期待您的關注
- 博主最近新寫了一本書：《手摸手教您學習SpringBoot系列-16章97節》
- 本文轉載注明出處（必須帶連接，不能只轉文字）：字母哥博客。