通过 HTTPS 读取使用 HTTP 设置的 cookie

Question

使用HTTP设置的cookie可以使用HTTPS读取吗？

Answer 1

仅当通过安全方式 (HTTPS) 连接时，浏览器才会发送使用“Secure”关键字设置的 Cookie。除此之外没有区别 - 如果不存在“secure”，则 cookie 可能会通过不安全的连接发送。

换句话说，您想要保护其内容的 cookie 应该使用 secure 关键字，并且您应该仅在用户通过 HTTPS 连接时将它们从服务器发送到浏览器。

• HTTP：带有“安全”的 Cookie 仅在 HTTPS 连接上返回（毫无意义，请参阅下面的注释）
• HTTPS：带有“安全”的 Cookie 仅在 HTTPS 连接上返回
• HTTP：不带“安全”的 Cookie将在 HTTP 或 HTTPS 连接上返回
• HTTPS：不带“安全” 的 Cookie 将在 上返回HTTP 或 HTTPS 连接（可能泄露安全信息）

---

参考： RFC 2109
请参阅 4.2.2（第 4 页）、4.3.1

注意：在 Firefox 和 Chrome 实施 严格的安全 Cookie 规范。