java - 如何实现私有(private)cookie？

Question

java.net 默认的“系统范围”CookieHandler 让我感到紧张，因为它意味着一个应用程序注册的 cookie 可以被另一个应用程序访问。如果这些 cookie 是授权 token ，则这几乎与“系统范围内”广播应用程序(和用户!)特定密码相同。

我有这个权利吗？如果我做一个HttpURLConnection产生一个cookie，另一个java应用程序可以简单地使用CookieHandler.getDefault.get(...)得到那个 cookies ？各种文档 (e.g.)请参阅创建自定义 CookieHandler 并设置默认的“系统范围”，但 ambiguous or non-committal关于后果 - 所以虽然我可以创建自己的 CookieHandler 或 CookieManager ，这似乎不可避免地会陷入“系统范围默认值”，其他进程可能会访问该默认值。 Oracle“访问 Cookie”教程 ( linked above ) 在促进“各种网页上的小程序”(当它可能是一项功能时)的背景下讨论了这一点。但是，如果我在“系统”上有一个 HTTPS session ，如果其他进程可以获取我的(现已解密的)身份验证 token ，这似乎是一个巨大的安全漏洞。

总结一下:

1. cookie 是通过 Http(s)UrlConnection 实例化的吗？那么系统范围内可用吗？

2. 如果#1 为真(我意识到我可以自己测试这一点，但还没有)，那么我如何实现每个应用程序的私有(private) cookie？

Answer 1

Are cookies instantiated via an Http(s)UrlConnection then available system wide?

没有。它们与一个正在运行的 JVM 实例一样宽。最常见的模型是每个应用程序都在自己的 JVM 中运行，因此它们不会以这种方式共享 cookie。