关于 会话cookie 和 持久性cookie 的问题： https://blog.csdn.net/llnara/article/details/80736096

cookie的概念：

cookie的英文意思是饼干。
在计算机术语中指 服务端存放在客户端的一段数据。这段数据在 客户端每次进行http请求时会自动加在http请求报文中的header上；服务端在响应时，可以对cookie进行设置，并将cookie加入到http响应报文header中。

MDN中对cookie的解释为：
cookie 是一个请求首部，其中含有先前由服务器通过 Set-Cookie 首部投放并存储到客户端的 HTTP cookies。
cookie一般存放在对应的域名下，各个浏览器对其中一个域名下存放的cookie的个数与大小规定不一样。
下表是不同浏览器对cookie存放的规定：

所有浏览器都支持cookie功能，我们可以直接在浏览器中 移除cookie 与 禁用cookie存储。
chrome中的设置为：设置-高级-隐私设置和安全性-内容设置-cookie。
如果我们在创建cookie时没有设置过期时间，即没有设置expires或者max-age值，则该cookie只存在与会话中，此时，cookie存储在浏览器的内存中，关闭浏览器时cookie自动消失。
如果设置了过期时间，则cookie存储在用户的硬盘上。

• 在windows OS下chrome存放cookie的路径是C:Documents and SettingsAdministratorLocal SettingsApplication DataGoogleChromeUser Data；

• firefox的存放路径是：C:Documents and SettingsAdministratorLocal SettingsApplication DataMozillaFirefoxProfilesznyzv8y6.defaultOfflineCache；

• 在mac下chrome的存储路径为：~/library/application support/google/chrome；
  Safari的存储路径为：~/library/cookies；

cookie的工作原理

我们知道 http协议是一种无状态的协议 ，在web应用程序中，通过http协议进行数据交互，交互完毕后，客户端 与 服务端 的连接就断开。
再次交互需要建立新的连接。这种连接无法记录用户的状态，cookie可以弥补 HTTP协议无状态的不足。

服务器给客户端们颁发一个通行证，无论谁访问都必须携带自己通行证，这样服务器就能从通行证上确认客户身份了。
这就是Cookie的工作原理。

上图展示了cookie的工作原理：

（1）第一次用户登录的时候，输入用户名和密码信息，服务端接收后进行用户认证。
（2）服务端通过验证后，生成一个 token 以 cookie的形式 放在 http的 response header 中一起返回给客户端。
（3）浏览器根据 是否设置cookie的过期时间 判断该cookie是 会话cookie 还是 永久cookie，并将 cookie存储在不同的位置。
（4）下次进行 http请求 时，请求头中会自动携带存储的cookie。
（5）服务端根据请求头中的cookie里面的 token 确认该用户的身份信息。

常见问题

前端主动向后端跨域发送cookie

在解释这个问题之前先了解一下什么是 跨域。

两个域之间是不是存在跨域问题，主要是根据协议、域名、端口号这三个点进行判断，只要有一个不一样就是跨域。

例如：
（1）协议不同：http://www.baidu.com 与https://www.baidu.com
（2）域名不同：http://www.baidu.com 与http://www.google.com
（3）端口号不同： http://www.baidu.com:8080 与http://www.baidu.com:8000浏览器默认情况下无法主动跨域向后端发送cookie，需要在前端请求时加入配置项{withCredentials:true}。jquery:$.ajax(url{:}^{\prime }myur{l}^{\prime },method{:}^{\prime }GE{T}^{\prime },xhrFields:withCredentials:true,success:function());angular:$http.get(url, {withCredentials: true})axios:axios.defaults.withCredentials = true

前端配置好后还需要在后端进行相关配置：在response header里面添加配置项

也有一些中间件帮我们解决跨域问题。例如express中的express-cors，或者koa中的koa-cors

方法属性

前端cookie

设置：

document.cookie = 'company=eoitek;max-age=10000;domain=eoitek.com;path=/;secure'

其中max-age是cookie的过期时间,是一个相对时间，值的单位是秒，是相对于cookie创建后多少秒才过期。
与max-age相似的配置属性是expires，值为日期对象的toUTCString()格式，即Thu, 21 Sep 2018 06:10:38 GMT，是指cookie过期的绝对时间。如果max-age和expires都存在，则max-age的优先级更高。domain是我们设置cookie存放的域，如果没有设置则为当前主机的域。path是指cookie存储的目录，默认为当前文件的存储目录。secure，加入此配置项，则指定该cookie只能通过https协议进行传输。读取：

document.cookie

读取所有该域能获取到的cookie；格式为‘=;=;’

后端cookie

前端配置好后还需要在后端进行相关配置：在response header里面添加配置项
设置（以node为例）：

var http = require('http');
http.createServer(function(req, res) {res.setHeader('status', '200 OK');res.setHeader('Set-Cookie', 'name=binbinfang;path=/;max-age=1000;domain=eoitek.com');res.setHeader('Access-Control-Allow-Origin', 'eoitek.com');res.setHeader('Access-Control-Allow-Credentials', 'true');res.write('Hello World');res.end();
}).listen(8888);console.log('running localhost:8888');

后端cookie比前端cookie多两个配置项：
httpOnly：设置了 HttpOnly 属性的 cookie 不能使用 JavaScript 经由 Document.cookie 属性、XMLHttpRequest 和 Request APIs 进行访问，以防范跨站脚本攻击（XSS）；
SameSite=StrictSameSite=Lax允许服务器设定一则 cookie 不随着跨域请求一起发送，这样可以在一定程度上防范跨站请求伪造攻击（CSRF）。

注意事项

（1）保存中文cookie如果需要保存中文cookie，则需要对中文进行UTF-8编解码，即通过 encodeUriComponent（）和decodeUriComponent（）方。
（2）保存图片和安全证书cookie中也可以保存二进制图片和安全证书，需要对文件进行base64编码才能保存。不过建议最好不要将这类文件保存在cookie中。
（3）cookie的更新只要将key；path；domain一致，则可以通过改变key对应的value来更新cookie的值。
（4）cookie的删除cookie只能更新不能删除，如果想要删除一个cookie，则通过更新设置该cookie的max-age=0即可。
（5）cookie的安全性设置cookie时添加secure。

cookie由于其设置和取值都是通过字符串的形式进行的。因此，在原生cookie的操作比较麻烦，可通过一些js库来方便我们的操作，包括cookies.js和js-cookie

cookie的跨域获取与单点登录问题

默认情况下，cookie是不能跨域访问的，如在 www.google.com 域无法操作和获取 www.baidu.com 里面的cookie，因为他们的一级域不同。但是在二级域里面可以共享和修改cookie的。即 www.baidu.com 和 baike.baidu.com 之间是可以共享cookie的。
据此，可以实现单点登录。

单点登录：

多个不同系统整合到统一加载个平台，用户在任何一个系统登录后，可以访问这个统一加载上的所有系统。登录之后，用户的权限和信息不再受某个系统的限制，即使某个系统出现故障(包括统一加载平台)，其他系统还是能正常使用的。这就需要用户权限等信息保存到客户端，不受服务器的限制。

例如，我们有两个站点，都需要用户身份认证，要实现单点登录的话，可以将他们的一级域名设置为相同的，如

主站点 设置为eoitek.test , 子站点 设置为sharplook.eoitek.test。
在创建cookie的时候，通过设置domain=.eoitek.test ; path=/；
即可实现两个域名之间的cookie共享，如果将认证信息的token放在cookie中则可以实现单点登录了。

//eoitek.test站点import cookies from 'cookiesjs';
export default {name: 'agent',mounted() {cookies({'fullname': null, 'company': null});
if (!cookies('fullname')) {cookies({fullname: 'binbin', company: 'eoitek'}, {expires: 100 * 24 * 3600, domain: '.eoitek.test', path: '/'});} }
}

可以看出在两个站点中都能访问到我们设置的两个cookie，这样实现了跨域访问cookie和单点登录。

使用cookie实现单点登录

Cookie是由服务器端生成，发送给User-Agent（一般是浏览器），浏览器会将Cookie的 key/value 保存到某个目录下的文本文件内，下次请求同一网站时就发送该Cookie给服务器（前提是浏览器设置为启用cookie）。

Cookies最典型的应用是判定注册用户是否已经登录网站，用户可能会得到提示，是否在下一次进入此网站时保留用户信息以便简化登录手续，这些都是Cookies的功用。另一个重要应用场合是“购物车”之类处理。用户可能会在一段时间内在同一家网站的不同页面中选择不同的商品，这些信息都会写入Cookies，以便在最后付款时提取信息。

使用和禁用Cookie
用户可以改变浏览器的设置，以使用或者禁用Cookies。

• 微软Internet Explorer
  工具 > Internet选项 > 隐私页
  调节滑块或者点击“高级”，进行设置.

• Mozilla Firefox
  工具>选项>隐私
  （注： 在Linux版本中，是如下操作：编辑 > 首选项 > 隐私 ， 而Mac则是：Firefox > 属性 > 隐私）

• 查看源网页 查看源网页
  设置Cookies选项
  设定阻止/允许的各个域内Cookie
  查看Cookies管理窗口，检查现存Cookie信息，选择删除或者阻止它们

• 苹果计算机 Safari
  Safari > 预置 > 安全标签
  选择以下的选项
  总是 接受 Cookies
  永不 接受 Cookies
  接受 Cookies 仅从您浏览的站点 （例如，不接受来自其它站点的广告) 预设的选项.
  您可以显示所有驻留在您浏览器中的 cookies，也可随时将它们之一删除。

什么是Cookies（“小甜饼”）呢？

简单来说，Cookies就是服务器暂时存放在你的电脑里的资料（.txt格式的文本文件），好让服务器用来辨认你的计算机。当你在浏览网站的时候，Web服务器会先送一小小资料放在你的计算机上，Cookies 会帮你在网站上所打的文字或是一些选择都记录下来。当下次你再访问同一个网站，Web服务器会先看看有没有它上次留下的Cookies资料，有的话，就会依据Cookie里的内容来判断使用者，送出特定的网页内容给你。

cookies有什么作用呢？

现在上许多网站都用新用户注册这一项，有时注册了一下，等到下次再访问该站点时，会自动识别到你，并且向你问好，是不是觉得很亲切？当然这种作用只是表面现象，更重要的是，网站可以利用cookies跟踪统计用户访问该网站的习惯，比如什么时间访问，访问了哪些页面，在每个网页的停留时间等。
利用这些信息，一方面是可以为用户提供个性化的服务，另一方面，也可以作为了解所有用户行为的工具，对于网站经营策略的改进有一定参考价值。例如，你在某家航空公司站点查阅航班时刻表，该网站可能就创建了包含你旅行计划的Cookies，也可能它只记录了你在该站点上曾经访问过的Web页，在你下次访问时，网站根据你的情况对显示的内容进行调整，将你所感兴趣的内容放在前列。这是高级的Cookie应用。目前Cookies 最广泛的是记录用户登录信息，这样下次访问时可以不需要输入自己的用户名、密码了——当然这种方便也存在用户信息泄密的问题，尤其在多个用户共用一台电脑时很容易出现这样的问题。
另外，有人认为网站利用cookies可能存在侵犯用户隐私的问题，但由于大多用户对此了解不多，而且这种对用户个人信息的利用多数作为统计数据之用，不一定造成用户的直接损失，因此现在对于cookies与用户隐私权的问题并没有相关法律约束，很多网站仍然在利用cookie跟踪用户行为，有些程序要求用户必须开启cookie才能正常应用。IE浏览器用户可以通过“隐私”选项中的隐私设置的高低来决定是否允许网站利用cookie跟踪自己的信息，从全部限制到全部允许，或者限制部分网站，也可以通过手动方式对具体的网站设置允许或者禁止使用cookies进行编辑。IE浏览器的默认设置是 “中级”－对部分网站利用cookie有限制。个人电脑的cookies设置（对IE浏览器而言）可通过菜单“工具－Internet选项－隐私”来查看和修改。
编辑本段生存周期Cookie可以保持登录信息到用户下次与服务器的会话，换句话说，下次访问同一网站时，用户会发现不必输入用户名和密码就已经登录了（当然，不排除用户手工删除Cookie）。而还有一些Cookie在用户退出会话的时候就被删除了，这样可以有效保护个人隐私。
Cookie在生成时就会被指定一个Expire值，这就是Cookie的生存周期，在这个周期内Cookie有效，超出周期Cookie就会被清除。有些页面将Cookie的生存周期设置为“0”或负值，这样在关闭浏览器时，就马上清除Cookie，不会记录用户信息，更加安全。