 |
| COOKIE |
人人都喜欢 cookie（小甜饼），不过你知道吗，小甜饼对于电脑用户来说，还有很特别的用途呢！
当你用互联网浏览器在因特网上搜索信息时，你的用户资料、所用电脑系统的资料和你所浏览过的网页资料都将被储存在一个资料夹中，这个资料夹就是 cookies。
说到底，“小甜饼”给网上用户带来的未必都是快乐，因为它就象一个小尾巴，记录下你在网上的一举一动，使人的隐私受到威胁。不信的话，打开你电脑硬盘浏览器目录中的小甜饼，看一看它到底记录了些什么。
简介编辑本段回目录
 |
| 代称 |
Cookie 为 Web 应用程序保存用户相关信息提供了一种有用的方法。例如，当用户访问您的站点时，您可以利用 Cookie 保存用户首选项或其他信息，这样，当用户下次再访问您的站点时，应用程序就可以检索以前保存的信息。
1.什么是 Cookie？
 |
| COOKIE |
以上就是 Cookie 的基本工作原理。那么，Cookie 有哪些用途呢？最根本的用途是 Cookie 能够帮助 Web 站点保存有关访问者的信息。更概括地说，Cookie 是一种保持 Web 应用程序连续性（即执行“状态管理”）的方法。浏览器和 Web 服务器除了在短暂的实际信息交换阶段以外总是断开的，而用户向 Web 服务器发送的每个请求都是单独处理的，与其他所有请求无关。然而在大多数情况下，都有必要让 Web 服务器在您请求某个页面时对您进行识别。例如，购物站点上的 Web 服务器跟踪每个购物者，以便站点能够管理购物车和其他的用户相关信息。因此 Cookie 的作用就类似于名片，它提供了相关的标识信息，可以帮助应用程序确定如何继续执行。使用 Cookie 能够达到多种目的，所有这些目的都是为了使 Web 站点记住您。例如，一个实施民意测验的站点可以简单地利用 Cookie 作为布尔值，表示您的浏览器是否已经参与了投票，从而避免您重复投票； 而那些要求用户登录的站点则可以通过 Cookie 来确定您是否已经登录过，这样您就不必每次都输入凭据。有关 Cookie 的更多背景信息，建议您阅读 Verizon Web 站点中的“How Internet Cookies Work”一文，地址为 （英文）。其作者详细解释了什么是 Cookie 以及 Cookie 是如何在浏览器和服务器之间交换信息的，他还全面总结了 Cookie 涉及的隐私问题。顺便问一下，您是否想知道它们为什么被称作“Cookie”？Jargon File（又称为“The New Hacker's Dictionary”）版本 4.3.3 对这一术语的词源给出了准确的定义和合理的解释。
2.Cookie 的限制
 |
| 打开 |
浏览器还限制了您的站点可以在用户计算机上保存的 Cookie 数。大多数浏览器只允许每个站点保存 20 个 Cookie。如果试图保存更多的 Cookie，则最先保存的 Cookie 就会被删除。还有些浏览器会对来自所有站点的 Cookie 总数作出限制，这个限制通常为 300 个。您最可能遇到的 Cookie 限制是：用户可以设置自己的浏览器，拒绝接受 Cookie。您很难解决这个问题，除非完全不使用 Cookie 而是通过其他机制来保存用户相关信息。保存用户信息的一种常用方法是会话状态，但会话状态又依赖于 Cookie。这一点在后面的Cookie 和会话状态中阐述。注意：有关状态管理和 Web 应用程序中用于保存信息的选项的详细信息，请参阅 Introduction to Web Forms State（英文）和 State Management Recommendations（英文）。更一般的经验很可能是，尽管 Cookie 在应用程序中非常有用，应用程序也不应该依赖于能够保存 Cookie。利用 Cookie 可以做到锦上添花，但不要利用它们来支持关键功能。如果您的应用程序必须使用 Cookie，则您可以通过测试来确定浏览器是否接受 Cookie。我在本文后面的检查浏览器是否接受 Cookie 一节中简单介绍了一种测试方法。
基本操作编辑本段回目录
 |
| COOKIE |
如果没有设置 Cookie 的有效期，还是可以创建 Cookie，但它不会保存到用户的硬盘上，而是会成为用户会话信息的一部分。如果用户关闭浏览器或会话超时，该 Cookie 就会被删除。这种非永久性的 Cookie 很适合用来保存只需短时间保存的信息，或者保存由于安全原因不应该写入客户计算机磁盘的信息。例如，如果用户使用的是一台公用计算机，而您不希望把 Cookie 写入这种计算机的>您可以通过多种方法把 Cookie 添加到 Response.Cookies 集合中。
2.查看您的 Cookie
 |
| COOKIE |
mikepope@www.contoso.txt 的文件中。（该文件名可能包含一个顺序的编号，如 mikepope@www.contoso[1].txt。） 这个 Cookie 文本文件是与用户相关的，所以会按照帐户分别保存。例如，在 Windows XP 中，您可以在如下所示的目录中找到 Cookie 文件：c:Documents and Settings要查找最新创建的 Cookie，可以按修改日期对目录内容进行排序，并查找最近修改的文件。您可以使用文本编辑器打开 Cookie。如果该文件包含多个 Cookie，这些 Cookie 之间将用星号 (*) 分隔。每个 Cookie 的第一行是 Cookie 的名称，第二行是值，其余各行则包含 Cookie 的日常处理信息，例如过期日期和时间。Cookie 中还有一个简单的校验和，如果更改 Cookie 名称或值的长度，浏览器就会检测到修改并删除该 Cookie。3.多值 Cookie（子键）
 |
| COOKIE |
4.控制 Cookie 有效范围
默认情况下，一个站点的全部 Cookie 都一起保存在客户机上，而且所有这些 Cookie 都会随着对该站点发送的请求一起发送到服务器，也就是说，站点的每个页面都能得到该站点的所有 Cookie。但有时候，您可能希望 Cookie 更具有针对性，这时，您可以通过两种方法设置 Cookie 的有效范围：
- 把 Cookie 的有效范围限制在服务器上的一个文件夹中，实际上这样就将 Cookie 限制到站点上的某个应用程序。
- 把有效范围设置为某个域，从而允许您指定域中的哪些子域可以访问 Cookie。
默认情况下，Cookie 与特定的域相关联。例如，如果您的站点是 www.contoso.com，那么当用户向该站点请求页面时，您编写的 Cookie 就被发送到服务器。（有特定路径值的 Cookie 除外，我在上一节刚刚解释过。） 如果您的站点有子域（例如 contoso.com、sales.contoso.com 和 support.contoso.com），就可以把 Cookie 同特定的子域相关联。为此，需要设置 Cookie 的 Domain 属性，
如果按照这种方式设置域，则 Cookie 只能用于指定子域中的页面。您也可以利用 Domain 属性来创建可在多个子域中共享的 Cookie。
5.读取 Cookie当浏览器向服务器发送请求时，该服务器的 Cookie 会与请求一起发送。在 ASP.NET 应用程序中，您可以使用 Request 对象来读取 Cookie。Request 对象的结构与 Response 对象的结构基本相同，所以从 Request 对象中读取 Cookie 的方法与向 Response 对象中写入 Cookie 的方法非常类似。以下示例显示了两种方法，目的都是获取名为“username”的 Cookie 的值并将值显示在 Label 控件中：
在获取 Cookie 的值之前，应该确保该 Cookie 确实存在。否则，您将得到一个 System.NullReferenceException（英文）异常。还需要注意的是，在页面中显示 Cookie 的内容之前，我调用了 HttpServerUtility.HtmlEncode（英文）方法对 Cookie 的内容进行编码。之所以这样做，是因为我要显示 Cookie 的内容（一般您不会这样做）而且要确保没有任何恶意用户在 Cookie 中添加了可执行脚本。有关 Cookie 安全性的详细信息，请参阅 Cookie 和安全性。（注意：由于不同的浏览器保存 Cookie 的方式也不同，所以同一台计算机上的不同浏览器不一定能够相互读取各自的 Cookie。例如，如果使用 Internet Explorer 测试一个页面，然后再使用其他浏览器进行测试，那么后者就不会找到 Internet Explorer 保存的 Cookie。当然，大多数人一般都是使用同一种浏览器进行 Web 交互的，因此在大多数情况下不会出现问题。但有时还是会遇到问题，比如您要测试应用程序对浏览器的兼容性。）
 |
| 移除 |
有时，您可能需要修改某个 Cookie，更改其值或延长其有效期。（请记住，由于浏览器不会把有效期信息传递到服务器，所以您无法读取 Cookie 的过期日期。）当然，实际上您并不是直接更改 Cookie。尽管您可以从 Request.Cookies 集合中获取 Cookie 并对其进行操作，但 Cookie 本身仍然存在于用户硬盘上的某个地方。因此，修改某个 Cookie 实际上是指用新的值创建新的 Cookie，并把该 Cookie 发送到浏览器，覆盖客户机上旧的 Cookie。
7.修改或删除子键比较复杂的问题是如何删除单个子键。不能只是简单地重新设置 Cookie 的过期日期，因为这样只能删除整个 Cookie 而不能删除单个子键。实际的解决方案是对包含子键的 Cookie 的 Values 集合进行操作。首先，通过从 Request.Cookies 对象中获取 Cookie 来重新创建 Cookie。然后，您就可以调用 Values 集合的 Remove 方法，将要删除的子键名称传递到 Remove 方法。接下来，您通常可以将修改后的 Cookie 添加到 Response.Cookies 集合，以便将修改后的 Cookie 发送回浏览器。以下代码显示了如何删除子键。在示例中，要删除的子键的名称在变量中指定。
Cookie 与安全性编辑本段回目录
 |
| COOKIE |
另一个需要关心的问题是，Cookie 是以纯文本的形式在浏览器和服务器之间传送的，任何可以截取 Web 通信的人都可以读取 Cookie。您可以对 Cookie 的属性进行设置，使其只能在使用安全套接字层（SSL，又称 https://）的连接上传输。SSL 并不能防止保存在用户计算机上的 Cookie 被他人读取或操作，但它能防止 Cookie 在传输途中被他人截取。本文不讨论 SSL，但您必须清楚，您可以对 Cookie 进行传输保护。有关 SSL 的详细信息，请参阅 Secure Sockets Layer: Protect Your E-Commerce Web Site with SSL and Digital Certificates（英文）。
面对这些安全问题，如何才能安全地使用 Cookie？您可以在 Cookie 中保存一些不重要的数据，如用户首选项或其他对应用程序没有重大影响的信息。如果确实需要把某些敏感信息（如用户 ID）保存在 Cookie 中，就对这些信息进行加密。一种可行的方法是利用 ASP.NET Forms Authentication 实用程序创建一个身份验证票据，作为 Cookie 保存。本文不讨论有关加密的问题，但是，如果您需要在 Cookie 中保存敏感信息，就应该试着采取措施来隐藏信息，防止被他人盗用。在 Mitigating Cross-site Scripting With HTTP-only Cookies（英文）一文中，您可以了解到更多有关 Cookie 及其安全弱点的信息。
1.检查浏览器是否接受 Cookie我在前面的 Cookie 的限制一节中曾经提到一个潜在问题，即用户可以设置自己的浏览器拒绝接受 Cookie。如何才能知道您是否可以读写 Cookie？在不能写入 Cookie 时不会出现任何错误（例如 Response.Cookies 不会抛出异常），因为服务器并不跟踪呈现页面后出现的情况。浏览器同样不会向服务器发送任何有关其当前的 Cookie 设置的信息。（也许您需要了解，但 HttpBrowserCapabilities.Cookies Property [英文] 属性并不会告诉您 Cookie 是否被启用，而只能告诉您当前的浏览器是否支持 Cookie。）一种确定浏览器是否接受 Cookie 的方法是先编写一个 Cookie，然后再尝试读取这个 Cookie。如果不能读取这个 Cookie，则可以认为该浏览器不接受 Cookie。 读取 redirect 查询字符串变量后，代码就尝试读取 Cookie。为了实现日常管理，如果该 Cookie 确实存在，就会被立即删除。测试完成后，代码从 redirect 查询字符串变量传递的 URL 构造一个新的 URL。新的 URL 也包括一个包含测试结果的查询字符串变量。最后一步是使用新的 URL 将浏览器重定向到原来的页面。
当用户访问您的站点时，服务器会为该用户创建唯一的会话，会话将一直延续到用户访问结束。对于每个会话，ASP.NET 都维护一种基于服务器的结构（会话状态），在该结构中应用程序可以保存用户的相关信息。有关详细信息，请参阅 Session State（英文）。ASP.NET 需要能跟踪每个用户的会话 ID，这样才能把用户映射到服务器上的会话状态信息。默认情况下，ASP.NET 使用一个非永久性的 Cookie 来保存会话状态。如果您使用读取 Cookie 一节的“读取 Cookie 集合”中的示例，您可能就会在 Cookie 中发现一个会话状态 Cookie。但是如果用户禁用了浏览器的 Cookie，会话状态就不能使用 Cookie 来保存会话 ID，会话状态也不会起作用。这就是为什么我在前面的检查浏览器是否接受 Cookie 中说，无法在 Cookie 测试完毕后把测试结果实际保存在会话状态中，因为没有 Cookie 就没有会话状态。ASP.NET 提供了一种解决方案，即利用无 Cookie 的会话。您可以配置自己的应用程序，不在 Cookie 中保存会话 ID，而是在站点页面的 URL 中保存。会话 ID 保存在 URL 中，也就是 ASP.NET 将 ID 保存在浏览器中，从而能够在用户请求其他页面时取回 ID。无 Cookie 会话可以避免浏览器拒绝 Cookie 的问题，使您能够使用会话状态。如果您的应用程序依赖于会话状态，您可能就需要对其进行配置，使它能使用无 Cookie 会话。但是，在某些情况下，如果用户与其他人共享 URL - 可能是用户通过电子邮件将 URL 发送给同事，而该用户的会话仍然处于激活状态 - 那么最终这两个用户可能共享同一个会话，结果将难以预料。
3.Cookie的建立使用
Cookies是一种Web服务器在客户端存储和返回信息的机制这种简单的、永久的和基于客户端的状态信息大大的扩充了基于Web的客户/服务器(Client/Server)应用程序的能力。因此广泛应用在大量的实际中，例如所有订阅Microsoft公司的MSDN的用户、访问过Borland Online的用户，以及访问过的主页本地存储Cookie，以便下次访问时提供上次访问的记录。
4Cookie的作用
cookie有什么作用呢？现在上许多网站都用新用户注册这一项，有时注册了一下，等到下次再访问该站点时，会自动识别到你，并且向你问好，是不是觉得很亲切？当然这种作用只是表面现象，更重要的是，网站可以利用cookie跟踪统计用户访问该网站的习惯，比如什么时间访问，访问了哪些页面，在每个网页的停留时间等。利用这些信息，一方面是可以为用户提供个性化的服务，另一方面，也可以作为了解所有用户行为的工具，对于网站经营策略的改进有一定参考价值。例如，你在某家航空公司站点查阅航班时刻表，该网站可能就创建了包含你旅行计划的Cookies，也可能它只记录了你在该站点上曾经访问过的Web页，在你下次访问时，网站根据你的情况对显示的内容进行调整，将你所感兴趣的内容放在前列。这是高级的Cookie应用。目前Cookie最广泛的是记录用户登录信息，这样下次访问时可以不需要输入自己的用户名、密码了——当然这种方便也存在用户信息泄密的问题，尤其在多个用户共用一台电脑时很容易出现这样的问题。
