Tomcat 的 Cookie 是如何工作的？

Question

我对一些关于 cookie 的事情感到困惑。

1. 为什么我需要使用/自定义javax.servlet.http.Cookie 类来实现Remember me 功能？

   我不能在我的web.xml 中使用吗？：

   <session-config>
       <session-timeout>10080</session-timeout>
   </session-config>
   

2. 计算机上有 cookie 不是安全问题吗？难道破解者不能窃取其他用户的 cookie 并劫持他们的会话吗？

Answer 1

1. 你不需要 - 你只需要创建一个http session。 Tomcat 将创建一个 cookie 或使用jsessionid URL 参数来维护您的会话 - 这是Java EE servlet specification 的一部分。如果您使用 JSP，那么他们automatically create http sessions。其他各种事情也可能导致创建会话。

2. 是的，这叫做session hijacking。