有效 Cookie 值的明确指南

Question

我知道还有其他问题，但他们的答案似乎是假设而不是确定的。

我有限的理解是，cookie 值是：

• 分号已用于分隔单个 cookie 中的 cookie 属性。
• 等号用于分隔 cookie 名称和值；
• 冒号用于分隔标头内的多个 cookie。

还有其他“特殊”角色吗？

其他一些问答建议使用一个 base64 编码该值，但这当然可能包含等号，这当然是无效的。

我还看到一些建议，可以引用价值观，但这会导致其他问题。

• 特殊字符需要加引号吗？
• 带引号的值是否支持通常的反斜杠转义机制。

RFC 我读了一些 RFC，包括许多 cookie RFCS 中的一些，但我仍然不确定，因为存在对另一个 RFC 等的交叉引用，没有明确的简单解释或“回答”我的查询的示例。

希望没有人会说阅读 RFC，因为问题变成了哪个 RFC...？

我想我也读到不同的浏览器有稍微不同的规则，所以希望如果这很重要，请在您的答案中注意这一点。

Answer 1

最新的 RFC 是 6265，它指出以前的 Cookie RFC 已过时。

RFC 中的语法规则如下：

 cookie-pair       = cookie-name "=" cookie-value
 cookie-name       = token
 cookie-value      = *cookie-octet / ( DQUOTE *cookie-octet DQUOTE )
 cookie-octet      = %x21 / %x23-2B / %x2D-3A / %x3C-5B / %x5D-7E
                       ; US-ASCII characters excluding CTLs,
                       ; whitespace DQUOTE, comma, semicolon,
                       ; and backslash

因此：

• 特殊字符是空格字符、双引号、逗号、分号和反斜杠。等于不是特殊字符。

• 根本不能使用特殊字符，但值可以用双引号括起来。

• 不能引用特殊字符。

• 反斜杠不充当转义符。

由此可见，可以使用base-64编码，因为equals并不特殊。

最后，据我所知，定义了 RFC 6265 cookie 值，以便它们可以与实现任何 Cookie RFC 的任何浏览器一起使用。但是，如果您尝试使用不符合 RFC 6265（但可以说确实符合早期 RFC）的 cookie 值，您可能会发现 cookie 行为因浏览器的不同而异。

简而言之，只要符合 RFC 6265 的规定就可以了。

如果您需要传递包含任何禁止字符的 cookie 值，您的应用程序需要对这些值进行自己的编码和解码；例如使用base64。

Answer 2

这里提到了 base64，所以这里有一个在 cookie 中使用它的熟 cookie 解决方案。这些函数是关于 base64 的修改版本，它们只使用 [0-9a-zA-Z_-]

你可以将它用于 cookie 的名称和值部分，正如他们所说，是二进制安全的。

gzdeflate/gzinflate 收回了 base64 创建的 30% 左右的空间，无法抗拒使用它。请注意，php gzdeflate/gzinflate 仅在大多数托管公司中可用，并非全部。

//write
setcookie
         (
         'mycookie'
         ,code_base64_FROM_bytes_cookiesafe(gzdeflate($mystring))
         ,time()+365*24*3600
         );
//read
$mystring=gzinflate(code_bytes_FROM_base64_cookiesafe($_COOKIE['mycookie']));


function code_base64_FROM_bytes_cookiesafe($bytes)
    {
    //safe for name and value part [0-9a-zA-Z_-]
    return strtr(base64_encode($bytes),Array
            (
            '/'=>'_',
            '+'=>'-',
            '='=>'',
            ' '=>'',
            "\n"=>'',
            "\r"=>'',
            ));
    }


function code_bytes_FROM_base64_cookiesafe($enc)
    {
    $enc=str_pad($enc,strlen($enc)%4,'=',STR_PAD_RIGHT);//add back =
    $enc=chunk_split($enc);//inserts \r\n every 76 chars
    return base64_decode(strtr($enc,Array
            (
            '_'=>'/',
            '-'=>'+',
            )));
    }