Cookie — небольшие данные, которые хранит браузер и отправляет с каждым запросом к домену. Серверная сессия — данные на сервере, а в cookie лежит только её идентификатор (JSESSIONID).
А ещё HTTP без состояния — cookie и есть способ его добавить
Так подсказку видит пользователь sotto на живом собеседовании — за пару секунд, пока вы думаете вслух.
HTTP без состояния — каждый запрос независим. Чтобы узнать пользователя, сервер должен что-то передать браузеру, а тот — возвращать.
Cookie: сервер отвечает Set-Cookie: name=value; Path=/; HttpOnly; Secure; SameSite=Lax, браузер сохраняет и прикладывает к последующим запросам к этому домену. Ограничения: ~4 КБ, уходит с каждым запросом, видна клиенту.
Серверная сессия: данные (кто вошёл, корзина) хранятся на сервере по случайному идентификатору; в cookie — только JSESSIONID. Плюсы: данные не видны и не подделываются клиентом, сессию легко завершить. Минусы: сервер хранит состояние — при нескольких экземплярах нужна общая сессия (Spring Session + Redis) или привязка клиента к экземпляру.
Токены вместо сессии (JWT в cookie или заголовке) — сервер не хранит состояние, проверяет подпись; цена — сложный отзыв.
Безопасность cookie: HttpOnly — недоступна из JavaScript (защита от кражи при XSS); Secure — только по HTTPS; SameSite=Lax/Strict — не отправляется с межсайтовыми запросами (защита от CSRF); смена идентификатора после входа (защита от фиксации сессии).
Один верный вариант. Подумайте, потом откройте ответ.
Семантика HTTP-методов и кэширование, cookies и их флаги безопасности, stateful против stateless сессий, HTTPS и граница authn/authz.
sotto слышит вопрос интервьюера и показывает короткий ответ и план, как в блоке «Коротко». Оставьте контакт — пришлём доступ и промокод.
sotto