本文系统讲解http无状态协议下如何通过cookie实现客户端会话跟踪，涵盖cookie的创建、发送、读取、属性配置及典型应用场景，辅以可运行的servlet代码示例，帮助开发者掌握安全、规范的cookie使用实践。
本文系统讲解http无状态协议下如何通过cookie实现客户端会话跟踪，涵盖cookie的创建、发送、读取、属性配置及典型应用场景，辅以可运行的servlet代码示例，帮助开发者掌握安全、规范的cookie使用实践。
在Web开发中，HTTP协议本身是无状态（stateless） 的——每次请求都被服务器视为独立事件，无法天然识别“这是同一个用户”。而真实业务场景（如登录态保持、购物车记录、个性化推荐）却高度依赖用户状态的连续性。为此，会话跟踪（Session Tracking）技术应运而生。其中，Cookie是最基础、最广泛使用的客户端会话跟踪机制：它由服务器生成并下发，浏览器自动存储并在后续请求中回传，从而在无状态协议上构建出有状态的会话上下文。
✅ Cookie核心工作原理
Cookie的本质是一组键值对（name=value）数据，通过HTTP响应头 Set-Cookie 下发，再通过请求头 Cookie 回传。其生命周期与作用域由服务端显式控制：
| 属性 | 说明 | 示例 |
|---|---|---|
| name/value | 必填项，标识数据名称与内容 | new Cookie("username", "zhangsan") |
| setMaxAge(int seconds) | 设置持久化时间（秒）。-1 表示会话级Cookie（关闭浏览器即失效）；0 表示立即删除 | cookie.setMaxAge(3600); // 1小时 |
| setPath(String path) | 指定Cookie生效路径。默认为当前Servlet路径，设为"/"则全站有效 | cookie.setPath("/"); |
| setDomain(String domain) | 支持跨子域名共享（如example.com下api.example.com与www.example.com共用） | cookie.setDomain(".example.com"); |
| setHttpOnly(true) | 禁止JavaScript访问，防范XSS攻击（强烈推荐） | cookie.setHttpOnly(true); |
| setSecure(true) | 仅HTTPS协议传输，防止中间人窃取 | cookie.setSecure(true); |
⚠️ 注意：Cookie不能直接存储中文、空格或特殊字符，如需保存中文，必须先使用URLEncoder.encode(str, "UTF-8")编码，读取时再用URLDecoder.decode(str, "UTF-8")解码。
? 实战：发送与读取Cookie的完整Servlet示例
以下是一个典型的两步流程：A Servlet下发Cookie → B Servlet读取并响应
立即学习“Java免费学习笔记（深入）”；
// AServlet.java —— 发送Cookie（如用户登录后设置身份标识）
@WebServlet("/login")
public class LoginServlet extends HttpServlet {
@Override
protected void doPost(HttpServletRequest req, HttpServletResponse resp) throws IOException {
String username = req.getParameter("username");
// 1. 创建Cookie（注意：value需编码避免非法字符）
Cookie userCookie = new Cookie("user", URLEncoder.encode(username, "UTF-8"));
// 2. 设置安全属性
userCookie.setHttpOnly(true);
userCookie.setSecure(true); // 生产环境务必启用HTTPS
userCookie.setPath("/");
userCookie.setMaxAge(60 * 60); // 1小时有效期
// 3. 下发至客户端
resp.addCookie(userCookie);
resp.getWriter().println("Login success! Cookie sent.");
}
}// BServlet.java —— 读取Cookie（如访问个人中心时验证身份）
@WebServlet("/profile")
public class ProfileServlet extends HttpServlet {
@Override
protected void doGet(HttpServletRequest req, HttpServletResponse resp) throws IOException {
// 1. 获取所有Cookie
Cookie[] cookies = req.getCookies();
String username = null;
if (cookies != null) {
for (Cookie cookie : cookies) {
if ("user".equals(cookie.getName())) {
// 2. 解码并获取值
username = URLDecoder.decode(cookie.getValue(), "UTF-8");
break;
}
}
}
// 3. 响应逻辑
if (username != null) {
resp.setContentType("text/html;charset=UTF-8");
resp.getWriter().println("<h2>Welcome, " + username + "!</h2>");
} else {
resp.sendError(HttpServletResponse.SC_UNAUTHORIZED, "Not logged in");
}
}
}? 为什么用Cookie？——澄清常见误区
有开发者疑惑：“既然每条短信/请求都带From号码，为何不直接用手机号做会话标识，而要引入Cookie？” 这个问题触及了协议层与应用层的根本区别：
- ✅ 手机号是业务标识，不是会话载体：From参数属于应用层数据（Twilio等平台解析后注入HTTP参数），它本身不具备状态维持能力。服务器无法仅凭手机号自动关联多次请求——除非你主动设计数据库映射或内存缓存（如Map<String, SessionData>），而这本质上已脱离Cookie范畴，进入Session或自定义会话管理领域。
- ✅ Cookie是HTTP协议原生支持的状态机制：浏览器自动完成存储、匹配、回传，无需额外开发；服务端只需标准API操作，兼容所有HTTP客户端（包括非浏览器终端如短信网关）。
- ✅ 安全性与可控性更高：通过HttpOnly、Secure、SameSite等属性，可精细控制Cookie的访问权限与传输范围，而单纯依赖手机号则易受伪造、重放等攻击。
简言之：手机号用于业务识别（Who），Cookie用于协议状态绑定（When + Where）。二者协同而非互斥——实际项目中常将手机号作为Cookie的value（加密后），既保证唯一性，又享受协议级自动管理优势。
? 最佳实践总结
- ✅ 永远设置HttpOnly=true：杜绝前端JS篡改或窃取敏感Cookie（如JSESSIONID、auth_token）；
- ✅ 生产环境必启Secure=true：强制HTTPS传输，避免明文泄露；
- ✅ 避免在Cookie中存储敏感信息：密码、身份证号等应存于服务端Session或数据库，Cookie仅存加密token或ID；
- ✅ 合理设置Max-Age：会话Cookie（-1）适合短期操作；长期登录建议7–30天，并配合服务端token刷新机制；
- ✅ 路径与域精准控制：setPath("/")慎用，优先限定到业务子路径（如/shop/），降低跨路径风险。
掌握Cookie，是理解Java Web会话管理的基石。它虽简单，却承载着状态维系的核心契约——在无状态的网络世界里，为每一次交互赋予连续的生命。
