《HTTP权威指南》– 9.识别和认证

客户端识别与Cookie机制

承载用户相关信息的HTTP首部

Cookie类型：

临时cookie 记录了用户访问站点时的设置和偏好，用户退出浏览器时，回话cookie就被删除了。持久cookie 生存时间更长一些，它们存储在硬盘上，浏览器退出，计算机重启时它们仍然存在。不同的浏览器会以不同的方式

存储cookie

，网景的

Navigator

会将cookie存储在一个名为

cookie.txt

的文本文件中，例：

domain	allh	path	secure	expires	name	value
www.example.com	FALSE	/	FALSE	1136109078	cc	/us/
www.example2.com	FALSE	/	FALSE	1136109078	cc	/us/

文本文件中的每一行都代表一个cookie

基本认证机制：

HTTP通过一组可定制的控制首部，为不同的认证协议提供了一个可扩展框架。认证的四个步骤：

基本认证存在以下安全缺陷：

摘要认证：

摘要认证 是另一种HTTP认证协议。它试图修复基本认证协议的严重缺陷，进行了如下改进：


摘要认证 并不是最安全的协议，但比基本认证要强大很多。传输层安全（Transport Layer Security : TLS）和安全HTTP（HTTPS）协议更安全一些。

摘要认证的握手机制：

图灵图书 -- HTTP权威指南

豆瓣读书 -- HTTP权威指南