set-cookie字段,cookie文件介绍+原理,如何查看cookie文件,在基于http协议服务器的代码实现,cookie存在问题+解决(会话机制)

服务器 0

目录

引入

介绍 

原理

描述

图解

保存"cookie文件"的方法

内存级

文件级 

查看cookie文件

示例 

实现

介绍

代码

核心代码

全部代码

示例

cookie存在的问题

介绍

存在的必要性

如何解决 

问题梳理

引入 

会话机制 -- 解决信息泄漏问题

介绍

用途

解决cookie被盗取


引入

http协议默认是无状态,每一次的请求都是独立事件

但是,我们回想一下:

  • 当我们登录某个网站后,他就像记住了我们的用户信息一样,无论访问它的哪个页面,我们都是已经登录的状态
  • 即使我们关闭网页/电脑,重新打开,依然是已登录的状态
  • 但这似乎和http协议的无状态特性冲突了,服务器怎么能记住我们的用户信息的呢?

其实靠的就是set-cookie字段

  • 它可以帮助实现http对登录用户的会话保持功能

 

介绍 

是http协议中报头字段的一部分,用于在Web服务器和客户端之间传输HTTP cookie信息

  • 它里面可以设置一些属性值
  • 用;隔开多个属性

 

原理

描述

当我们登录某网站时

  • 将[输入的账号密码等数据]随着请求发过去(有get(url中) / post(正文中)方法)

然后服务器收到请求

  • 将请求解析,提取出用户信息
  • 完成用户认证后,会将其重定向至首页(因为此时客户端处于服务器的登录页面)
  • 然后将输入的数据填充到set-cookie字段里,发回给客户端

当浏览器收到服务器发回的响应

  • 浏览器会在它内部的cookie文件中保存字段里的数据
  • (set-cookie相当于是命令客户端让它把这个字段携带的数据写入到cookie里)

这样当浏览器再次访问相同的服务器时

  • 浏览器会自动帮我们将cookie文件中的数据填充到请求里
  • 然后在服务器里自动进行用户认证,这样就不需要用户手动输入了

而如果请求里没有携带cookie信息

  • 则会跳转到登录页面让你登录
  • 然后就是重复上述操作

图解

保存"cookie文件"的方法

虽然说是文件,但也不一定以文件的方式存放数据

内存级

为什么可以是内存?

  • 因为浏览器也是一个进程,是进程就可以进行内存空间的分配(new / malloc)
  • 在Web开发中,有时需要在客户端会话期间在内存中存储cookie,而不是持久化到硬盘上
  • 当用户关闭浏览器时就会被删除

文件级 

将数据往磁盘中写

  • 即使把浏览器关闭,cookie文件里的数据依然存在
  • 下次启动浏览器后依然可以使用(也就是之前登录过的网站不需要重新登陆)

查看cookie文件

我们可以从左上角的图标那里点击查看正在使用的cookie文件

示例 

b站此时已经缓存了我的用户信息

如果我们把这个文件删除,并刷新页面,就会看到登录提示:

而且,每个cookie文件都是有到期时间,时间到了,就会自动删除

实现

介绍

我们这里使用post方式提交输入数据

  • 所以需要在有请求正文的情况下,再填充set-cookie字段
  • 总之就是处理字符串

代码

核心代码
    void handle_response(response &res, request &req)    {        int code = req.code_;        std::string path = req.path_;        std::string content_type_data = content_type_[req.suffix_];        // lg(DEBUG, "content_type_data: %s", content_type_data.c_str());        res.version_ = "HTTP/1.1";        if (code == 302)        {            res.code_ = 302;            res.desc_ = "Found";            std::string cl = "Location: ";            cl += "https://www.qq.com";            (res.title_).push_back(cl);            return;        }        if (code == 404)        {            res.code_ = 404;            res.desc_ = "Not Found";        }        else        {            res.code_ = 200;            res.desc_ = "OK";        }        // 将读取网页和图片资源的方式分开        if (req.suffix_ == ".html")        {            res.text_ = get_page(path);            // lg(DEBUG, "text: %s", (res.text_).c_str());        }        else        {            res.text_ = b_get_page(path);        }        //  构建响应报头        std::string cl = "Content-Length: ";        cl += std::to_string((res.text_).size());        // lg(DEBUG, "text_size: %d", (res.text_).size());        (res.title_).push_back(cl);        cl = "Content-Type: ";        cl += content_type_data;        (res.title_).push_back(cl);        // 增加cookie        if (!(req.text_).empty())        {            // lg(DEBUG, "TEXT: %s", req.text_.c_str());            size_t left = 0, right = 0;            while (true) // 把请求的正文部分的内容读出来            {                cl = "Set-Cookie: ";                right = (req.text_).find("&", left);                if (right == std::string::npos)                {                    //最后一个字段是submit,我这里就不把它保存到cookie里了                    break;                }                cl += (req.text_).substr(left, right - left);                left = right + 1;                (res.title_).push_back(cl);            }        }    }
全部代码
#pragma once#include <signal.h>#include <unistd.h>#include <cstring>#include <functional>#include <pthread.h>#include <unordered_map>#include "socket.hpp"#include "Serialization.hpp"static MY_SOCKET my_socket;#define buff_size 1024 * 30class http_server;struct thread_data{    int sockfd_;    std::string ip_;    std::string &in_buffer_;    http_server *this_;};class http_server{public:    http_server(const uint16_t port, const std::string &ip = "0.0.0.0")        : port_(port), ip_(ip)    {        content_type_[".html"] = "text/html";        content_type_[".png"] = "image/png";        content_type_[".jpg"] = "image/jpeg";        content_type_[".jpeg"] = "image/jpeg";    }    ~http_server() {}    void run()    {        init();        while (true)        {            uint16_t client_port;            std::string client_ip;            // 一个线程处理一次请求(短连接)            pthread_t pid;            std::string in_buffer;            int sockfd = 0;            int count = 5;            do            {                lg(DEBUG, "accepting ...");                sockfd = my_socket.Accept(client_ip, client_port);                if (sockfd != -1 || --count == 0)                {                    break;                }            } while (true);            if (sockfd == -1)            {                lg(ERROR, "accepting error");            }            lg(INFO, "get a new link..., sockfd: %d, client ip: %s, client port: %d", sockfd, client_ip.c_str(), client_port);            thread_data *td = new thread_data{sockfd, client_ip, in_buffer, this};            lg(DEBUG, "create pthread");            pthread_create(&pid, nullptr, entry, reinterpret_cast<void *>(td));            // 一个进程服务一个客户端            // lg(DEBUG, "accepting ...");            // int sockfd = my_socket.Accept(client_ip, client_port);            // if (sockfd == -1)            // {            //     continue;            // }            // lg(INFO, "get a new link..., sockfd: %d, client ip: %s, client port: %d", sockfd, client_ip.c_str(), client_port);            //  int ret = fork();            //  if (ret == 0)            //  {            //      my_socket.Close();            //  char buffer[buff_size];            //  std::string in_buffer;            // while (true)            // {            //     memset(buffer, 0, sizeof(buffer));            //     int n = read(sockfd, buffer, sizeof(buffer)); //"size"/n"a op b"/n            //     if (n > 0)            //     {            //         buffer[n] = 0;            //         in_buffer += buffer; // 连续读取            //         lg(INFO, "get request: /n%s", in_buffer.c_str());            //         // 构建请求            //         request req;            //         req.deserialize(in_buffer);            //         // lg(DEBUG, "path: %s ,url: %s ", (req.path_).c_str(), (req.url_).c_str());            //         // 构建响应            //         response res;            //         handle_response(res, req);            //         // 响应序列化            //         std::string content;            //         res.serialize(content);            //         write(sockfd, content.c_str(), content.size());            //     }            //     else if (n == 0)            //     {            //         lg(INFO, "%s quit", client_ip.c_str());            //         break;            //     }            //     else // 读出错误            //     {            //         break;            //     }            // }            //     exit(0);            //     close(sockfd);            // }        }    }private:    void init()    {        signal(SIGPIPE, SIG_IGN);        signal(SIGCHLD, SIG_IGN);        my_socket.Socket();        my_socket.Bind(port_);        my_socket.Listen();        lg(INFO, "server init done");    }    void handle_response(response &res, request &req)    {        int code = req.code_;        std::string path = req.path_;        std::string content_type_data = content_type_[req.suffix_];        // lg(DEBUG, "content_type_data: %s", content_type_data.c_str());        res.version_ = "HTTP/1.1";        if (code == 302)        {            res.code_ = 302;            res.desc_ = "Found";            std::string cl = "Location: ";            cl += "https://www.qq.com";            (res.title_).push_back(cl);            return;        }        if (code == 404)        {            res.code_ = 404;            res.desc_ = "Not Found";        }        else        {            res.code_ = 200;            res.desc_ = "OK";        }        // 将读取网页和图片资源的方式分开        if (req.suffix_ == ".html")        {            res.text_ = get_page(path);            // lg(DEBUG, "text: %s", (res.text_).c_str());        }        else        {            res.text_ = b_get_page(path);        }        //  构建响应报头        std::string cl = "Content-Length: ";        cl += std::to_string((res.text_).size());        // lg(DEBUG, "text_size: %d", (res.text_).size());        (res.title_).push_back(cl);        cl = "Content-Type: ";        cl += content_type_data;        (res.title_).push_back(cl);        // 增加cookie        if (!(req.text_).empty())        {            // lg(DEBUG, "TEXT: %s", req.text_.c_str());            size_t left = 0, right = 0;            while (true) // 把请求的正文部分的内容读出来            {                cl = "Set-Cookie: ";                right = (req.text_).find("&", left);                if (right == std::string::npos)                {                    //最后一个字段是submit,我这里就不把它保存到cookie里了                    break;                }                cl += (req.text_).substr(left, right - left);                left = right + 1;                (res.title_).push_back(cl);            }        }    }    static void *entry(void *args)    {        pthread_detach(pthread_self());        thread_data *td = reinterpret_cast<thread_data *>(args);        int sockfd = td->sockfd_;        std::string ip = td->ip_;        std::string in_buffer = td->in_buffer_;        http_server *it = td->this_;        // 读取请求        char buffer[buff_size];        bool flag = true;        request req;        while (true) // 虽说是短连接,但也得确保读出来的内容是一个完整的请求        {            memset(buffer, 0, sizeof(buffer));            int n = read(sockfd, buffer, sizeof(buffer));            if (n > 0)            {                buffer[n] = 0;                in_buffer += buffer; // 连续读取                lg(INFO, "get request: /n%s", in_buffer.c_str());                // 构建请求                flag = req.deserialize(in_buffer);                if (flag == false)                {                    continue;                }                else                {                    break;                }            }            else if (n == 0)            {                lg(INFO, "%s quit", ip.c_str());                return nullptr;            }            else            {                lg(ERROR, "%s read error", ip.c_str());                return nullptr;            }        }        // lg(DEBUG, "path: %s ,url: %s ", (req.path_).c_str(), (req.url_).c_str());        // 构建响应        response res;        it->handle_response(res, req);        // 响应序列化        std::string content;        res.serialize(content);        write(sockfd, content.c_str(), content.size());        //  销毁资源        delete td;        close(sockfd);        return nullptr;    }private:    uint16_t port_;    std::string ip_;    std::unordered_map<std::string, std::string> content_type_;};

更多代码介绍在 -- 基于http协议的服务端代码(简易版,动态编码网页版),user-agent介绍+爬虫/反爬虫原理,web根目录解释,html的基本格式介绍,输入格式介绍(form,input,不同提交方式的区别)-CSDN博客 基于http协议的服务器代码编写(可以访问指定路径的资源版+添加跳转网页功能+临时重定向+加载图片的原理/方法+多线程版),http请求/响应的序列化/反序列化,href介绍-CSDN博客

示例

这是我们输入名字和密码后的请求和响应的内容:

  • 可以看到,set-cookie字段被正确填充

这是我们之后的请求,会看到请求里自动带上了cookie字段:

查看cookie文件,也是成功创建出来了:

cookie存在的问题

介绍

如果电脑被别人中了病毒,读取了我们电脑上的cookie文件

  • 这样他们那边就可以用着我们的用户数据,来登录我们登陆过的网站

这也就是qq盗号的原理

  • 我们应该都见到过,自己的qq有被异地登录啥的

那这说明cookie文件很容易丢失

  • 而且一旦丢失,都是最敏感的用户信息

存在的必要性

所以,既然这么容易丢,为什么cookie文件还会存在呢?

  • 是因为,如果没有cookie文件的话,用户每一次访问某个网页,都需要验证用户信息
  • 相当于一步一验证,那可太太太麻烦了
  • 所以就需要它来辅助实现会话保持功能 
  • 所以,cookie的存在是必要的

 

如何解决 

那如何解决它存在的问题呢?

问题梳理

我们先将它存在的问题梳理出来:

  • 容易被盗取
  • 导致个人私有信息泄漏

引入 

其实,客户端的防范能力基本为0

  • 所以,我们直接把私密信息放在客户端(也就是浏览器的cookie文件里),本身就是不合理的

所以,我们来重新回顾一下整个设置cookie的过程:

  • 当用户输入登录信息后,服务器会收到这些数据进行身份认证
  • 此时,如果不做修改的话,就直接将私密数据发送给客户端让它保存到cookie里了
  • 我们在这里引入一个新的机制 -- session(会话)机制

会话机制 -- 解决信息泄漏问题

介绍

服务器端会维护一些数据结构,这里成为session

  • 它里面会存放用户的各种信息
  • 并且拥有唯一标识符session id(由服务器分配和管理)

这样的话,服务器返回给客户端的就可以是session的唯一标识符

  • 那么在客户端之后的请求中,会自动带上session id,然后发给服务器
  • 服务器在session集群(服务器会以某种结构管理多个session的(因为session肯定不止一个,一个用户对应一个session))中寻找是否存在这个id
  • 找到则认证成功
用途

这样也能实现我们的会话保持功能,而且还不会泄漏隐私

  • 虽然依然可以拿走cookie里的数据,然后冒充我们访问服务器
  • 但拿走的并不是我们的隐私信息,只是一个id
  • 因为隐私信息被留在了服务器内部,而没有发回给客户端保存
  • 而服务器是有防护能力的,所以黑客很难攻破服务器盗取数据

 

那么,个人信息泄露的问题就解决了,cookie文件容易被盗取的问题该怎么办呢?

解决cookie被盗取

其实,cookie文件被盗取是无法绝对避免的

  • 所以他还是可能会以某种方式拿走session id
  • 虽然隐私信息他访问不到,但还是可以冒充我们登录服务器

如何解决呢?

  • 还是要从服务器入手,因为黑客拿到的session id是由服务器管理的,可以分配,自然可以回收
  • 如果服务器检测到ip地址异常(比如ip地区突然从一个地区->另一个地区,这肯定不可能嘛),就将它对应的session文件设置为暂停状态,并且让用户重新输入登录信息
  • 如果验证失败,说明有被盗取的可能,于是把这个session直接删除

所以,即使我们无法彻底解决冒充用户的问题,但也可以通过其他手段尽可能地降低风险

也许您对下面的内容还感兴趣: