如何在Spring Boot中使用Cookies

1、 导读

本文大纲

• 读取HTTP Cookie
• 设置HTTP Cookie
• 读取全部Cookie[]
• 为Cookie设置过时时间
• Https与Cookie
• HttpOnly Cookie
• 删除Cookie

HTTP Cookie（也称为Web cookie，浏览器cookie）是服务器在用户浏览器中存储的小部分数据。服务器端应用程序在返回浏览器请求响应的时候设置cookie，浏览器存储cookie，并将它们在下一个请求一块儿发送的时候自动带回服务器端应用程序。

Cookies提供了一种在服务器和浏览器之间交换信息的方法，以管理会话（登陆，购物车，游戏得分），记住用户首选项（主题，隐私策略接受）以及跟踪整个站点的用户行为。Cookies在必定程度上解放了服务器端的压力，由于将一部分数据放在浏览器端存储，因此这部分数据不能是涉及应用安全的数据。在本文中，咱们将学习如何在Spring Boot应用程序中读取、设置和删除HTTP cookie。

2、读取HTTP Cookie

Spring框架提供@CookieValue注释来获取HTTP cookie的值，此注解可直接用在控制器方法参数中。

@GetMapping("/")
public String readCookie(@CookieValue(value = "username", 
                                      defaultValue = "Atta") String username) {
    return "Hey! My username is " + username;
}

在上述代码段中，请注意defaultValue = "Atta"。若是没有设置默认值，而且没有找到名称为username的Cookie，Spring将抛出java.lang.IllegalStateException异常。

3、设置HTTP Cookie

要在Spring Boot中设置cookie，咱们可使用HttpServletResponse类的方法addCookie()。您须要作的就是建立一个新的Cookie对象并将其添加到响应中。

@GetMapping("/change-username")
public String setCookie(HttpServletResponse response) {
    // 建立一个 cookie对象
    Cookie cookie = new Cookie("username", "Jovan");

    //将cookie对象加入response响应
    response.addCookie(cookie);

    return "Username is changed!";
}

4、读取全部Cookie[]

除了使用@CookieValue注解，咱们还可使用HttpServletRequest类做为控制器方法参数来读取全部cookie。此类提供了getCookies()方法，该方法以数组形式返回浏览器发送的全部cookie。

@GetMapping("/all-cookies")
public String readAllCookies(HttpServletRequest request) {

    Cookie[] cookies = request.getCookies();
    if (cookies != null) {
        return Arrays.stream(cookies)
                .map(c -> c.getName() + "=" + c.getValue())
                .collect(Collectors.joining(", "));
    }

    return "No cookies";
}

5、为Cookie设置过时时间

若是没有为cookie指定过时时间，则其生命周期将持续到Session过时为止。这样的cookie称为会话cookie。会话cookie保持活动状态，直到用户关闭其浏览器或清除其cookie。可是您能够覆盖此默认行为，并使用类的setMaxAge()方法设置cookie的过时时间。

// 建立一个 cookie对象
Cookie cookie = new Cookie("username", "Jovan");
cookie.setMaxAge(7 * 24 * 60 * 60); // 7天过时

//将cookie对象加入response响应
response.addCookie(cookie);

如今，usernameCookie不会由于Seesion结束到期，而是会在接下来的7天保持有效。传递给setMaxAge()方法的到期时间以秒为单位。到期日期和时间是相对于设置cookie的客户端而不是服务器而言的。

6、Https与Cookie

咱们须要了解一个概念：什么的安全的Cookies？安全的cookie是仅能够经过加密的HTTPS链接发送到服务器的cookie。没法经过未加密的HTTP链接将cookie发送到服务器。也就是说，若是设置了setSecure(true)，该Cookie将没法在Http链接中传输，只能是Https链接中传输。

// 建立一个 cookie对象
Cookie cookie = new Cookie("username", "Jovan");
cookie.setSecure(true);  //Https 安全cookie

//将cookie对象加入response响应
response.addCookie(cookie);

7、HttpOnly Cookie

HttpOnly cookie用于防止跨站点脚本（XSS）攻击，也就是说设置了Http Only的Cookie不能经过JavaScript的Document.cookieAPI访问，仅能在服务端由服务器程序访问。

// 建立一个 cookie对象
Cookie cookie = new Cookie("username", "Jovan");
cookie.setHttpOnly(true);  //不能被js访问的Cookie

//将cookie对象加入response响应
response.addCookie(cookie);

8、删除Cookie

要删除Cookie，须要将Max-Age设置为0，而且将Cookie的值设置为null。不要将Max-Age指令值设置为-1负数。不然，浏览器会将其视为会话cookie。

// 将Cookie的值设置为null
Cookie cookie = new Cookie("username", null);
//将`Max-Age`设置为0
cookie.setMaxAge(0);

response.addCookie(cookie);

期待您的关注

• 博主最近新写了一本书：《手摸手教您学习SpringBoot系列-16章97节》
• 本文转载注明出处（必须带链接，不能只转文字）：字母哥博客。