了解cookie安全性

一、能夠控制cookie的安全性

可以通過設置cookie的httponly和secure屬性來控制cookie的安全性。

httponly屬性可以防止cookie被JavaScript攻擊，保護用戶的身份認證信息。

secure屬性可以保證cookie只能在https協議下傳輸，避免cookie被中間人攻擊，保障用戶隱私。

// 設置具有httponly和secure屬性的cookie
Set-Cookie: id=a3fWa; Expires=Wed, 21 Oct 2015 07:28:00 GMT; Secure; HttpOnly;

二、cookie劫持與防範

cookie劫持是指黑客通過各種手段獲取用戶的cookie，從而進行惡意攻擊。

可以通過以下幾種方式來防範cookie劫持：

1、使用JWT（JSON Web Token）代替cookie存儲用戶身份信息。

2、使用雙因素認證，增加黑客攻擊的難度。

3、設置cookie的httpOnly和secure屬性，防止JavaScript等攻擊方式。

// 使用JWT生成token
const jwt = require('jsonwebtoken');
const token = jwt.sign({ user: 'username' }, 'secret');
// 存儲token
localStorage.setItem('token', token);

三、cookie和Session的區別

cookie和session都是用於存儲用戶身份信息的方式，但是它們有以下幾個不同點：

1、cookie存儲在本地，session存儲在服務器。

2、cookie具有過期時間，session的過期時間由服務器控制。

3、cookie的大小受限制，session可以存儲大量數據。

// 存儲session
app.use(session({
  secret: 'keyboard cat',
  resave: false,
  saveUninitialized: true,
  cookie: { secure: true }
}))

四、cookie和localStorage的區別

cookie和localStorage都是用於存儲數據的，但是它們有以下幾個不同點：

1、cookie存儲在本地且會隨着http請求一起發送到服務器，localStorage只存在於瀏覽器端。

2、cookie容量受限制，localStorage可以存儲大量數據。

3、cookie通過設置domain屬性可以在多個子域名中共享，localStorage不能跨域共享。

// 存儲localStorage
localStorage.setItem('token', 'value');
// 讀取localStorage
const token = localStorage.getItem('token');

五、cookie的刪除和清除

可以通過以下幾種方式來刪除或清除cookie：

1、手動刪除cookie。

2、過期時間設置為0，等待瀏覽器自動清除cookie。

3、調用NPM庫如cookie-parser進行刪除或清除。

// 手動刪除cookie
document.cookie = 'token=; expires=Thu, 01 Jan 1970 00:00:00 UTC;';
// 過期時間設置為0
Set-Cookie: id=a3fWa; Expires=Thu, 01 Jan 1970 00:00:00 UTC;