为什么需要Cookie#

HTTP协议是无状态的，意味着每次请求都是独立的，服务器不会记住用户之前的行为。

用户登录后，服务器无法知道后续请求是否来自同一个用户。

就像你登录了一个电商网站（如淘宝），假如 HTTP是无状态的，那么你每次刷新页面或跳转到其他页面时，系统都会提示“请重新登录”，这是因为服务器无法记住你之前的登录状态。而通过Cookie，服务器在用户登录成功后设置一个标识。浏览器会将这个标识保存下来，并在后续请求中自动附加到请求头中，服务器通过解析这个标识就能知道用户已登录。

浏览器在每次HTTP请求中，自动携带Cookie信息，服务器通过解析这些信息识别用户身份。虽然HTTP协议本身无状态，但通过Cookie的“附加行为”，实现了有状态的交互。

如何设置Cookie#

SpringBoot#

1
import jakarta.servlet.http.Cookie;
2
import jakarta.servlet.http.HttpServletResponse;
3
import org.springframework.web.bind.annotation.GetMapping;
4
import org.springframework.web.bind.annotation.RestController;
5

6
@RestController
7
public class CookieController {
8

9
    @GetMapping("/set-cookie")
10
    public String setCookie(HttpServletResponse response) {
11
        Cookie cookie = new Cookie("token", "abc123");
12
        cookie.setPath("/");          // 设置路径（整个项目可用）
13
        cookie.setMaxAge(60 * 60);    // 有效期 1 小时
14
        cookie.setHttpOnly(true);     // 防止 JS 读取，提升安全性
15
        cookie.setSecure(false);      // true 代表仅 https 传输
16
        response.addCookie(cookie);   // 写入响应头
17

18
        return "Cookie 已设置！";
19
    }
20
}

有时需要更细控制，可以直接操作 Set-Cookie 响应头：

1
@GetMapping("/set-cookie-header")
2
public String setCookieHeader(HttpServletResponse response) {
3
    response.addHeader("Set-Cookie", "sessionId=xyz789; Path=/; HttpOnly; Max-Age=3600");
4
    return "Header Cookie 已设置！";
5
}

使用 @CookieValue：

1
@GetMapping("/get-cookie")
2
public String getCookie(@CookieValue(value = "token", defaultValue = "null") String token) {
3
    return "当前 token = " + token;
4
}

1
@GetMapping("/get-cookie2")
2
public String getCookie2(HttpServletRequest request) {
3
    Cookie[] cookies = request.getCookies();
4
    if (cookies != null) {
5
        for (Cookie c : cookies) {
6
            if ("token".equals(c.getName())) {
7
                return "找到 token: " + c.getValue();
8
            }
9
        }
10
    }
11
    return "未找到 token";
12
}

Cookie组成#

用户可通过 f12打开控制台，然后应用->Cookie->找到当前地址，就能看到当前的Cookie 信息。

key=value: 核心数据
Set-Cookie字段：服务器通过这个字段定义Cookie的内容
Path=/：指定Cookie的而作用路径（/表示所有路径均可访问）
HttpOnly: 防止JavaScript 访问Cookie（提高安全性）
Secure: 要求Cookie仅能通过HTTPS传输
Max-Age: 设置Cookie在多久后过期
Expires：设置Cookie在指定时间过期
Domain：作用域，指定Cookie所属的域名，允许跨子域名共享

Max-Age 和Expires是设置Cookie过期时间的两种方式。

Cookie按照生命周期分为两种#

会话期cookie是最简单的cookie：浏览器关闭后会被自动删除。会话期cookie不需要指定过期时间（Expires）或者有效期（Max-Age)。需要注意的是，有些浏览器提供了会话恢复功能，这种情况即使关闭了浏览器，会话期cookie也会被保留下来，这会导致cookie的生命周期无限期延长持久性cookie的生命周期取决于过期时间（Expires）或者有效期（Max-Age）指定的一段时间。当Cookie的过期时间被设定时，设定的日期和时间只与客户端相关，而不是服务端。