Tomcat的Cookie如何工作？

问题描述：

我对一些关于cookie的事情感到困惑。Tomcat的Cookie如何工作？

为什么我需要使用/自定义，以实现一个Remember me功能javax.servlet.http.Cookie类？

在我web.xml我不能只使用？：
```
<session-config> 
    <session-timeout>10080</session-timeout> 
</session-config> 
```
是不是有计算机上的Cookie的安全性问题？一个饼干不能窃取另一个用户的cookie并劫持他们的会话？

1）你不需要 - 你只需要创建一个[http session]（http://oak.cs.ucla.edu/cs144/projects/project5/session_tutorial.html）。 2）是的，这被称为[会话劫持]（http://en.wikipedia.org/wiki/Session_hijacking）。 –

如果您使用JSP，那么[它们会自动创建http会话]（http://www.tutorialspoint.com/jsp/jsp_session_tracking.htm）。各种其他事情也可以创建案例会议。 –

是的。这是[Java EE servlet规范]的一部分（http://download.oracle.com/otndocs/jcp/servlet-3.0-fr-eval-oth-JSpec/）。 –

答

你不 - 你只需要创建一个http session。 Tomcat将创建一个cookie或使用URL参数jsessionid来维持会话 - 这是Java EE servlet specification的一部分。如果您使用JSP，那么他们automatically create http sessions。其他各种事情也会导致会话被创建。
是的，这叫做session hijacking。

Tomcat的Cookie如何工作？

相关推荐