HTTP 中的多个 Set-cookie 标头

Question

我正在编写一个小类，充当非常基本的 HTTP 客户端。作为我正在进行的项目的一部分，我正在使其具有 cookie 意识。但是，我不清楚当我的客户端收到多个具有相同密钥但设置了不同值的“Set-Cookie”标头时会发生什么。

例如，

Set-Cookie: PHPSESSID=abc; path=/
Set-Cookie: PHPSESSID=def; path=/
Set-Cookie: PHPSESSID=ghi; path=/

其中哪一项应该是 PHPSESSID 的值？当您在同一页面上调用 session_start() 然后调用 session_regenerate_id() 时，通常会发生这种情况。每个都会设置自己的标题。所有浏览器似乎都可以处理这个问题，但我似乎无法让我的客户选择正确的浏览器。

有什么想法吗？

Answer 1

RFC 6265 第 4.1.2 节 指出：

如果用户代理收到具有相同 cookie-name 的新 cookie，
域值和路径值作为已存储的 cookie，
现有 cookie 被逐出并替换为新 cookie。
请注意，服务器可以通过向用户代理发送
来删除 cookie
带有 Expires 属性的新 cookie，其值是过去的值。

因此，我会按给定的顺序处理标头，并在存在重复项时覆盖它们。因此，在您的情况下，您将只有一个 PHPSESSID=ghi。

Answer 2

RFC 6265 指出：

服务器不应在具有相同 cookie 名称的同一响应中包含多个 Set-Cookie 标头字段。

因此，如果您的服务使用相同的密钥发送多个 Set-Cookie 标头，我会非常担心。特别是因为我看到用户代理和代理的行为出乎意料 - 有时采用第一个标头的值，有时重新排列标头。

作为客户端，典型的用户代理行为似乎是获取最后一个标头的值。 RFC 通过以下声明暗示了这种行为：

如果用户代理收到一个新的 cookie，其 cookie 名称、域值和路径值与其已存储的 cookie 相同，则现有 cookie 将被逐出并替换为新 cookie。