携手创造，一同生长！这是我参与「日新方案 8 月更文挑战」的第18天，点击查看活动详情

主要内容：

  1. Cookie知道
  2. NSHTTPCookie
  3. 六大特性

1. Cookie知道

我们通过的服务器和客户端进行交互往往是通过https/http央求完结的，而这个协议是无衔接的，但有时分我们的业务中需求完结多次央求是有必定关联性的，所以就需求约好一个信息供客户端和服务器端进行辨认，这儿就是用到了Cookie和Session。
客户端央求时带着上Cookie，服务器端进行辨认，辨认后就可以进行处理，Cookie中带着的最重要的信息就是SessionID，这个ID就可以查询到服务器端保存的Session，Session中保存了许多的该用户信息，辨认后就可以通过这些用户信息对这个央求进行处理。

在WKWebView中，我们能做的就是对Cookie进行处理

作用：

  • 会话情况管理（如用户登录情况）
  • 个性化设置（如用户自界说设置、主题等）
  • 浏览器行为盯梢（如盯梢分析用户行为等）

1.1 进程

客户端在一次给服务器端发送央求时，服务器端会生成一个Cookie回来给给客户端，客户端鄙人一次央求发送时会带着上该Cookie，这样后续央求就可以运用该Cookie来辨认。

  1. 创建Cookie，当服务器收到HTTP央求时，会创建一个Cookie，并在响应头中添加一个Set-Cookkie的选项，附着上Cookie
  2. Cookie运用，客户端在收到该Cookie后，鄙人次发送央求时，就会在Cookie选择中带着上可以匹配的Cookie
  3. Cookie辨认，服务器端在收到客户端的央求后，就会辨认Cookie中的SessionID，以此查找Session，查找到后就可以运用Session信息来处理该央求

1.2 Cookie特色知道

Expires：

  • 最长有用时间，Cookie可以存活的时间（旧特色）
  • 假定没有设置，那么时间就是一个会话期，也就是假定客户端被关掉，则Cookie就会被移除
  • 然而，许多Web浏览器支撑会话恢复功用，这个功用可以使浏览器保存全部的tab标签，然后在从头翻开浏览器的时分将其复原。与此一同，cookie 也会恢复，就跟从来没有关闭浏览器相同。

Max-Age：

  • 最大存活时间
  • 作用和Expires相同，但是Max-Age是新特色，假定一同存在，则优先运用Max-Age

Domain：

  • 该Cookie可被带着的主机名
  • 也就是发送央求中假定给该主机发送，那么就可以选择带着该Cookie（还需求判别Path）
  • 假定没有指定，那么默许值为当前文档访问地址中的主机部分（但是不包括子域名）
  • 与之前的规范不同的是，域名之前的点号会被疏忽。
  • 假定指定了域名，那么相当于各个子域名也包括在内了。（也就是这儿假定写了二级域名，那么二级域名相同的全部央求都可以带着该Cookie）

Path：

  • 该Cookie需求被带着的途径
  • 也就是发送央求中假定给该地址发送，那么就可以选择运用该Cookie（还需求判别主机）
  • 目录的下级目录也满足匹配的条件。（例如，假定 path=/docs，那么 “/docs”, “/docs/Web/” 或许 “/docs/Web/HTTP” 都满足匹配的条件）

Secure：

  • 一个带有安全特色的 cookie 只需在央求运用SSL和HTTPS协议的时分才会被发送到服务器。
  • 也就是说这个Cookie假定设置有Secure，那么这个央求只能是HTTPS协议，否则无法发送

HttpOnly：

  • 设置了 HttpOnly 特色的 cookie 不能运用 JavaScript 经由 Document.cookie 特色、XMLHttpRequest 和 Request APIs 进行访问，以防范跨站脚本侵犯（XSS (en-US)）。

SameSite：

  • 容许服务器设定一则 cookie 不跟着跨域央求一同发送，这样可以在必定程度上防范跨站央求假造侵犯

2. NSHTTPCookie

2.1 创建Cookie

//运用供给的特色创建并初始化一个HTTP cookie目标。
- (nullable instancetype)initWithProperties:(NSDictionary<NSHTTPCookiePropertyKey, id> *)properties;
//用给定的cookie特色初始化一个HTTP cookie目标。
+ (nullable NSHTTPCookie *)cookieWithProperties:(NSDictionary<NSHTTPCookiePropertyKey, id> *)properties;
为供给的URL创建一个与供给的响应报头字段对应的HTTP cookie数组。
+ cookiesWithResponseHeaderFields:forURL:

2.2 设置Cookie到央求头

//将cookie数组转换为报头字段的字典。
+ (NSDictionary<NSString *, NSString *> *)requestHeaderFieldsWithCookies:(NSArray<NSHTTPCookie *> *)cookies;

2.3 获取Cookie主机特色

@property (readonly, copy) NSString *domain;
@property (readonly, copy) NSString *path;
@property (nullable, readonly, copy) NSArray<NSNumber *> *portList;

2.4 得到Cookie元数据

@property (readonly, copy) NSString *name;
@property (readonly) NSUInteger version;
@property (readonly, copy) NSString *value;

2.5 供认Cookie生命周期

//过期时间
@property (nullable, readonly, copy) NSDate *expiresDate;
//一个布尔值，指示是否应该在会话结束时丢掉cookie(不管过期日期怎么)。
@property (readonly, getter=isSessionOnly) BOOL sessionOnly;

2.6 Cookie安全

//一个布尔值，指示是否该cookie应该只发送到HTTP服务器。
@property (readonly, getter=isHTTPOnly) BOOL HTTPOnly;
//一个布尔值，指示是否只能通过安全通道发送cookie。
@property (readonly, getter=isSecure) BOOL secure;
//一个布尔值，指示是否将cookie约束为发送回创建它的同一站点的央求。
@property (nullable, readonly, copy) NSHTTPCookieStringPolicy sameSitePolicy

2.7 访问Cookie特色

//Cookie特色
@property (nullable, readonly, copy) NSDictionary<NSHTTPCookiePropertyKey, id> *properties;
//在cookie特色字典中界说支撑键的常量。可直接查找文档
NSHTTPCookiePropertyKey

2.8 获取用户可读的Cookie元数据

//回来接收方的comment
@property (nullable, readonly, copy) NSString *comment;
//回来接收方的comment URL
@property (nullable, readonly, copy) NSURL *commentURL;

3. 六大特性

3.1 Cookie的生命周期

会话期Cookie： 仅作用在会话期，浏览器关闭 后就会被自动删去，会话期Cookie不需求指定Expires或Max-Age部分浏览器供给了恢复会话功用，即使关闭浏览器，会话期Cookie也会被保存下来

耐久性Cookie： 生命周期取决于Expires或Max-Age指定的时间（设定的时间只与客户端相关，而不是服务器端）

3.2 约束访问 Cookie

有两种方法可以确保Cookie被安全的发送，并且不会被以外的参与者或脚本访问，Secure特色和HttpOnly特色

Secure特色：
只应通过被 HTTPS 协议加密过的央求发送给服务端，因此可以防备 man-in-the-middle 侵犯者的侵犯。但即使设置了 Secure 符号，活络信息也不应该通过 Cookie 传输。由于 Cookie 有其固有的不安全性，Secure 符号也无法供给确实的安全保证。

HttpOnly特色：
JavaScript Document.cookie API 无法访问带有 HttpOnly 特色的cookie，此类 Cookie 仅作用于服务器
例如，耐久化服务器端会话的 Cookie 不需求对 JavaScript 可用，而应具有 HttpOnly 特色。
此防备措施有助于缓解跨站点脚本（XSS） (en-US)侵犯。

3.3 Cookie 的作用域

Domain 和 Path 标识界说了Cookie的作用域：即容许 哪些央求带着Cookie 。

Domain 特色：
Domain 指定了哪些主机可以接受 Cookie。假定不指定，默许为 origin，不包括子域名。假定指定了Domain，则一般包括子域名。

Path特色：
Path 标识指定了主机下的哪些途径可以接受 Cookie

SameSite attribute：
SameSite Cookie 容许服务器要求某个 cookie 在跨站央求时不会被发送，从而可以阻遏跨站央求假造侵犯（CSRF）

  • None： 浏览器会在同站央求、跨站央求下持续发送 cookies，不差异大小写。
  • Strict： 浏览器将只在访问相同站点时发送 cookie。（在原有 Cookies 的约束条件上的加强，如上文 “Cookie 的作用域” 所述）
  • Lax： 与 Strict 相似，但用户从外部站点导航至URL时（例如通过链接）在外。在新版本浏览器中，为默许选项，Same-site cookies 将会为一些跨站子央求保存，如图片加载或许 frames 的调用，但只需当用户从外部站点导航到URL时才会发送。如 link 链接

Cookie prefixes：
关于子域访问的特性，会出现这种情况：子域上的易受侵犯的运用程序可以运用 Domain 特色设置 cookie，从而可以访问全部其他子域上的该 cookie。因此cookie 的机制使得服务器无法供认 cookie 是在安全来源上设置的，乃至无法供认 cookie 开始是在哪里设置的。

3.4 安全

Cookie中的信息是可以被访问和修正的，因此具有不安全性，需求设置身份验证/机密机制，并且假定没有设置安全环境时，不能通过Cookie存储、传输活络信息。

  • 运用 HttpOnly 特色可防止通过 JavaScript 访问 cookie 值。
  • 用于活络信息（例如指示身份验证）的 Cookie 的生存期应较短，并且 SameSite 特色设置为Strict 或 Lax。

3.5 会话绑架和XSS

在 Web 运用中，Cookie 常用来符号用户或授权会话。因此，假定 Web 运用的 Cookie 被盗取，或许导致授权用户的会话遭到侵犯。
常用的盗取 Cookie 的方法有运用社会工程学侵犯和运用运用程序漏洞进行 XSS (en-US) 侵犯。

HttpOnly 类型的 Cookie 用于阻遏了JavaScript 对其的访问性而能在必定程度上缓解此类侵犯。

3.6 跨站央求假造（CSRF）

在本站点发送其他站点的央求，以达到恶意获取央求信息的目的，比如在不安全聊天室或论坛上的一张图片，它实际上是一个给你银行服务器发送提现的央求：当你翻开含有了这张图片的 HTML 页面时，假定你之前现已登录了你的银行帐号并且 Cookie 依然有用。

阻遏方法：

  • 对用户输入进行过滤来阻遏
  • 任何活络操作都需求供认；
  • 用于活络信息的 Cookie 只能具有较短的生命周期