HTTP Cookie的域名和路径匹配

原创
2016/12/06 16:24
阅读数 1K

介绍

本文主要通过整理RFC6265 - HTTP State Management Mechanism文档的域名和路径匹配章节,然后加以实验验证,最后梳理出一些技术要点,仅供大家参考。

Domain Matching

假设request_domain为请求域名,cookie_domain为cookie的domain属性,如果request_domain和cookie_domain以点"."结尾,则先将尾部的点"."移除。 如果request_domain和cookie_domain满足以下任一个条件,则称request_domain和cookie_domain匹配:
** 1. request_domain和cookie_domain是同级域名,并且相等 **

  • request_domain(www.google.com)和cookie_domain(www.google.com)匹配

** 2. request_domain和cookie_domain不同级,并且cookie_domain是request_domain的后缀 **

  • request_domain(www.google.com)和cookie_domain(google.com)匹配
  • request_domain(www.google.com)和cookie_domain(.google.com)匹配
  • request_domain(img.static.google.com)和cookie_domain(static.google.com)匹配

cookie_domain(google.com)和cookie_domain(.google.com)匹配所有子域名

不匹配示例:

  • request_domain(google.com)和cookie_domain(www.google.com)不匹配
  • request_domain(abc.google.com)和cookie_domain(c.google.com)不匹配

Path Matching

假设request_path为请求路径,cookie_path为cookie的path属性。 如果cookie_path和request_path满足以下任一个条件,则称cookie_path和request_path匹配:
** 1. cookie_path和request_path是同级路径,并且相等 **

  • request_path(/)和cookie_path(/)
  • request_path(/a)和cookie_path(/a)

** 2. cookie_path和request_path不是同级路径,并且cookie_path是request_path的前缀 **

  • request_path(/a)和cookie_path(/)
  • request_path(/a/b)和cookie_path(/a)

cookie_path(/)匹配所有request_path

不匹配示例:

  • request_path(/a)和cookie_path(/a/)
  • request_path(/ab)和cookie_path(/a)

Set-Cookie

假设当前请求的域名是request_domain, 响应中Set-Cookie的域名是cookie_domain,路径是cookie_path,则:

  • 如果cookie_domain未指定,则默认为request_domain。
  • 如果cookie_path未指定,则默认为/。
  • request_domain必须匹配cookie_domain,否则浏览器会丢弃该Set-Cookie
    例如request_domain(www.google.com)的响应中包含一个Set-Cookie,其cookie_domain为api.google.com,则浏览器会丢弃该Set-Cookie。

Cookie可以跨端口共享吗?

可以的,只要同时满足Domain Match和Path Match即可。

参考文档

展开阅读全文
加载中
点击引领话题📣 发布并加入讨论🔥
打赏
0 评论
2 收藏
1
分享
返回顶部
顶部