请问老师关于cookie和token

Question

请问一下老师看到您在别的同学回答下讲到关于cookie使用http-only属性，这样的话在下发token应该通过什么途径呢？我理解是下发token存储在cookie中。一般工作场景中大部分会中cookie取到这个token值然后在header中携带防止xsrf。但是老师讲到cookie携带http-only属性，这样的话js无法读取cookie，那么自然也就无法取到token。我能想到的也只有在客户端下发cookie中携带token，之后客户端发送请求时候携带cookie(cookie中本身就存在token)向服务端发送请求。请问老师是这样的吗。

还有一点我不是很明白的是，原本cookie也是每次都在变化的，如果把token仅仅放入cookie中和服务端做鉴权。那么和本身的cookie机制有什么区别呢？我不是特别明白这个，希望老师有空可以解惑。

Answer 1

ustbhuangyi 2020-12-09 00:24:55

服务端会下发 http-only 的 cookie，前端并不需要读取这个 cookie，因为发送同域名的请求就会自动携带这个 cookie。
不理解你说的 cookie 本身机制是什么意思，之所以要 http-only，就是防止一旦页面被 xss 了，攻击者能拿到这个 cookie。

• 提问者 hy_wang #1

  那如果没有办法通过is操作cookie我理解也就意味着没有办法通过js获取token了。因为token大多数都放在cookie中，这样的话是不是只能讲token放在cookie中携带发送。老师我个人理解传统通过cookie的方式不是一样的吗。服务端下发一个cookie，客户端请求携带cookie ，并不做任何操作cookie

• ustbhuangyi 回复 提问者 hy_wang #2

  http-only 的 cookie 就是禁止通过 JS 访问的，能访问到就没安全可言了