Cookies 詳解及其與 Session 的協同工作

一、Cookies 的本質與作用

1. 什么是 Cookies？

Cookies 是由服務器發送到用戶瀏覽器并存儲在本地的小型文本文件。核心特性：

• 存儲位置：客戶端瀏覽器
• 數據形式：鍵值對字符串（最大4KB）
• 傳輸方式：通過HTTP頭部自動傳遞
• 生命周期：可設置過期時間（會話級/持久化）

2. 在瀏覽器中的作用：

3. 技術實現流程：

二、Cookies 與 Session 的協同機制

1. 經典協作模式：

2. 具體工作流程：

三、在 Django 項目中的實現代碼

1. 設置 Session-Cookie（登錄視圖）

# views.py
def user_login(request):if request.method == 'POST':username = request.POST['username']password = request.POST['password']user = authenticate(username=username, password=password)if user:# 核心Session操作request.session['user_id'] = user.id# 顯式設置Cookie參數response = redirect('dashboard')response.set_cookie('user_lang', 'zh-CN', max_age=30*24*3600,  # 30天有效期httponly=False,       # 允許JS訪問secure=True           # 僅HTTPS傳輸)return response

2. 讀取 Cookie（中間件示例）

# middleware.py
class LanguageMiddleware:def __init__(self, get_response):self.get_response = get_responsedef __call__(self, request):# 1. 從Cookie獲取語言偏好lang = request.COOKIES.get('user_lang', 'en')# 2. 設置線程本地語言translation.activate(lang)request.LANGUAGE_CODE = lang# 3. 處理請求response = self.get_response(request)# 4. 回寫Cookie（如需更新）if lang != 'en':response.set_cookie('user_lang', lang)return response

3. Session-Cookie 安全配置（settings.py）

# 防止XSS攻擊
SESSION_COOKIE_HTTPONLY = True  # 禁止JS訪問Session Cookie# 防止中間人攻擊
SESSION_COOKIE_SECURE = True    # 僅通過HTTPS傳輸# 防御CSRF
CSRF_USE_SESSIONS = True        # CSRF token存儲在Session中
CSRF_COOKIE_HTTPONLY = False    # 允許AJAX訪問CSRF token# 同源策略
SESSION_COOKIE_SAMESITE = 'Lax' # 平衡安全與第三方集成

四、Cookie 與 Session 的對比分析

特性	Cookie	Session
存儲位置	客戶端瀏覽器	服務器端
數據類型	僅字符串（最大4KB）	任意Python對象
安全性	較低（用戶可見可修改）	較高（服務器控制）
生命周期	可長期保存（設置過期時間）	通常短期（會話結束或超時）
性能影響	每次請求自動攜帶	需要服務器查詢存儲
典型應用場景	語言偏好、主題設置、跟蹤ID	登錄狀態、購物車、敏感數據

五、實際應用案例：購物車系統

工作流程：

代碼實現：

# views.py
def add_to_cart(request, product_id):# 確保購物車存在if 'cart' not in request.session:request.session['cart'] = {}# 更新購物車cart = request.session['cart']cart[product_id] = cart.get(product_id, 0) + 1# 標記Session已修改request.session.modified = True# 設置跟蹤Cookie（非敏感數據）response = JsonResponse({'status': 'success'})response.set_cookie('cart_updated', datetime.now().isoformat())return response

六、安全最佳實踐

1. 敏感數據絕不存Cookie：

   # 錯誤示例（密碼存Cookie）
   response.set_cookie('password', user.password) # 正確做法
   request.session['user_id'] = user.id
   

2. Cookie簽名驗證：

   # 設置簽名Cookie
   response.set_signed_cookie('preferences', 'dark_theme', salt='ui_settings',max_age=3600
   )# 讀取驗證
   request.get_signed_cookie('preferences', salt='ui_settings')
   

3. Session劫持防護：

   # 每次登錄更換Session ID
   def login_view(request):# ...驗證邏輯...request.session.cycle_key()  # 關鍵防護！
   

4. 瀏覽器指紋綁定：

   # 存儲用戶特征哈希
   fingerprint = hashlib.sha256(f"{request.META['HTTP_USER_AGENT']}{ip_address}".encode()
   ).hexdigest()
   request.session['browser_fp'] = fingerprint# 每次請求驗證
   if request.session.get('browser_fp') != current_fingerprint:request.session.flush()  # 強制重新登錄
   

總結回答

Cookies是瀏覽器存儲的小型文本數據，核心作用是：

1. 在客戶端保存非敏感狀態信息（如語言/主題偏好）
2. 作為Session ID的載體實現身份保持
3. 跟蹤用戶行為（需符合隱私法規）

與Session的協同方式：

• Session在服務器端存儲核心狀態（如用戶ID、權限）
• Cookies在瀏覽器端安全存儲Session ID（通常為HttpOnly+Secure）
• 每次請求自動攜帶Session ID Cookie → 服務器恢復完整Session

這種設計實現了安全與用戶體驗的平衡：敏感數據受服務器保護，非敏感設置由客戶端高效存儲，共同構建了有狀態的Web體驗。