java - Tomcat 的 Cookie 是如何工作的？

Question

我对一些关于 cookie 的事情感到困惑。

1. 为什么我需要使用/自定义 javax.servlet.http.Cookie 类来实现 Remember me 功能？

   在我的 web.xml 中我不能直接使用吗？:

   <session-config>
       <session-timeout>10080</session-timeout>
   </session-config>
   

2. 在计算机上使用 cookie 不是安全问题吗？破解者不能窃取其他用户的 cookie 并劫持他们的 session 吗？

Answer 1

1. 你不需要 - 你只需要创建一个 http session . Tomcat 将创建一个 cookie 或使用 jsessionid URL 参数来维护您的 session - 这是 Java EE servlet specification 的一部分.如果你使用 JSP 那么他们 automatically create http sessions .其他各种事情也可能导致创建 session 。

2. 是的，这叫做session hijacking .