第11章 客户端识别与cookie 机制
比较HTTP首部、IP、登录、胖URL和Cookie等客户端识别与会话机制
第11章 客户端识别与cookie 机制
“第11章 客户端识别与cookie 机制”锁定David Gourley、Brian Totty、Marjorie Sayer、Sailu Reddy、Anshu Aggarwal著，陈涓、赵振平译《HTTP权威指南》，人民邮电出版社，2012年，ISBN 9787115281487；英文原版HTTP: The Definitive Guide，O'Reilly Media，2002年9月，656页，ISBN 1565925092。O'Reilly官方页面确认英文首版的5个正文部分、21章和8个附录；中文版完整印刷目录另含“第六部分 附录”和索引。忠实度分母共586个部分、章、编号节/小节、附录与索引节点。
“第11章 客户端识别与cookie 机制”未取得未获授权的完整中文正文；课程以 O’Reilly 官方在线版 与 章级导览 界定首版范围，中文解释、报文、实验和练习均为独立教学重写。现代语义仅以 RFC 9110、RFC 9111 和 RFC 9112 核对差异。
学习目标
- 能解释“第11章 客户端识别与cookie 机制”的全部正式节点及其HTTP事务位置。
- 能绘制请求、响应、TCP连接、中间实体和资源状态。
- 能设计单变量实验，验证“状态标识的来源、作用域、持久时间、跨站边界、缓存影响与隐私风险都可追踪”。
- 能写出含首版边界、原始报文、故障、恢复和复核人的证据包。
从一条可证伪的HTTP事务开始
先预测：把Cookie等同于服务器会话或忽略Domain/Path会造成越权发送和缓存泄漏。把预测写成“URL/资源、连接、请求报文、中间实体、响应报文、身份与编码”六行，再运行客户端、代理或服务器。结果不同先定位首个字节或状态偏差。
本页主问题是：比较HTTP首部、IP、登录、胖URL和Cookie等客户端识别与会话机制。每条消息要注明发送者、接收者、HTTP版本、连接复用、逐跳/端到端首部、主体边界与历史协议状态。
验收不变量是：状态标识的来源、作用域、持久时间、跨站边界、缓存影响与隐私风险都可追踪。最终页面正常、状态码200或TLS通道建立都只是局部事实，不能单独证明资源身份、缓存变体、代理转发与证书身份全部正确。
核心词汇与首版边界
↡服务器通过响应设置并由客户端按作用域随请求返回的小型状态数据、↡把多个无状态HTTP事务关联到同一交互上下文的机制、↡限制Cookie可发送域范围的属性、↡限制Cookie可发送请求路径范围的属性、↡把用户状态编码进每个页面链接URL的识别技术
这些词汇固定在2002年英文首版和2012年中译本语境。在“第11章 客户端识别与cookie 机制”中，HTTP/2、HTTP/3、OAuth、JWT、SameSite、HSTS和现代CDN行为只作独立比较，不得替换HTTP-NG、Digest、WebDAV、WPAD等首版节点。
核心机制深读
先从Cookie画出事务
比较HTTP首部、IP、登录、胖URL和Cookie等客户端识别与会话机制。先固定资源身份和请求目标，再标出客户端、中间实体与源服务器，任何优化或安全结论都不能跳过原始报文。
动手试：先手写预期请求与响应，再抓取正常事务和一个单变量故障事务。标出首个不同字节或状态，不用最终页面猜根因。
区分Cookie与会话跟踪
Cookie和会话跟踪可能在同一事务中协作，但责任、状态位置和失败语义不同。对比正常请求、单个首部变化和单个连接故障，定位首个偏差。
动手试：先手写预期请求与响应，再抓取正常事务和一个单变量故障事务。标出首个不同字节或状态，不用最终页面猜根因。
让Domain属性经过真实中间实体
代理、缓存、网关或隧道会读取、添加、删除或转发不同首部。逐跳记录Via、Connection列出的字段、缓存决策和认证边界。
动手试：先手写预期请求与响应，再抓取正常事务和一个单变量故障事务。标出首个不同字节或状态，不用最终页面猜根因。
验证Path属性的历史语境
原书写于2002年，以HTTP/1.0、HTTP/1.1、SSL/TLS早期版本和当时Web基础设施为背景。现代实现可做对照，但不能冒充原书节点。
动手试：先手写预期请求与响应，再抓取正常事务和一个单变量故障事务。标出首个不同字节或状态，不用最终页面猜根因。
用胖URL关闭证据门
状态标识的来源、作用域、持久时间、跨站边界、缓存影响与隐私风险都可追踪。证据至少包含原始请求/响应、TCP时间线、中间状态、失败注入、恢复动作和第三方复核。
动手试：先手写预期请求与响应，再抓取正常事务和一个单变量故障事务。标出首个不同字节或状态，不用最终页面猜根因。
首版机制逐项深读
第11章 客户端识别与cookie 机制
“第11章 客户端识别与cookie 机制”会进入请求、缓存和日志，必须评估泄露与跟踪风险；能识别浏览器不代表已验证真实用户身份。
11.1 个性化接触
“11.1 个性化接触”会进入请求、缓存和日志，必须评估泄露与跟踪风险；能识别浏览器不代表已验证真实用户身份。
11.2 http 首部
“11.2 http 首部”必须在线路语义中判断：请求方法声明意图，状态码表达处理结果，首部携带元数据，主体边界由明确的报文规则确定。
11.3 客户端ip 地址
“11.3 客户端ip 地址”解决无状态请求之间的关联问题；识别线索、Cookie 与登录会话的可靠性和隐私边界不同，不能把弱关联当成已认证身份。
11.4 用户登录
“11.4 用户登录”会进入请求、缓存和日志，必须评估泄露与跟踪风险；能识别浏览器不代表已验证真实用户身份。
11.5 胖url
“11.5 胖url”把会话状态写入每个链接，能跨请求传递身份线索，却会污染共享链接、缓存与日志并泄露敏感状态。
11.6 cookie
“11.6 cookie”解决无状态请求之间的关联问题；识别线索、Cookie 与登录会话的可靠性和隐私边界不同，不能把弱关联当成已认证身份。
11.6.1 cookie 的类型
“11.6.1 cookie 的类型”区分会话 Cookie 与持久 Cookie：前者依赖用户代理会话，后者由到期时间或 Max-Age 控制。
11.6.2 cookie 是如何工作的
“11.6.2 cookie 是如何工作的”会进入请求、缓存和日志，必须评估泄露与跟踪风险；能识别浏览器不代表已验证真实用户身份。
11.6.3 cookie 罐：客户端的状态
验证“11.6.3 cookie 罐：客户端的状态”使用两个用户与两个站点，比较域、路径、会话和持久状态的选择规则，确认不会跨边界串用。
11.6.4 不同站点使用不同的cookie
分析“11.6.4 不同站点使用不同的cookie”要记录状态由谁创建、存在哪里、何时回送与何时过期；IP 或 User-Agent 等线索只能辅助关联。
11.6.5 cookie 成分
“11.6.5 cookie 成分”包含名称、值、域、路径、到期与安全属性；用户代理按作用域选择回送，服务器不能假定所有同名 Cookie 等价。
11.6.6 cookies 版本0（netscape）
“11.6.6 cookies 版本0（netscape）”记录早期 Cookie 规范差异；实现与实验必须固定版本语境，不能用现代 SameSite 等属性替代原书协议字段。
11.6.7 cookies 版本1（rfc 2965）
“11.6.7 cookies 版本1（rfc 2965）”记录早期 Cookie 规范差异；实现与实验必须固定版本语境，不能用现代 SameSite 等属性替代原书协议字段。
11.6.8 cookie 与会话跟踪
“11.6.8 cookie 与会话跟踪”解决无状态请求之间的关联问题；识别线索、Cookie 与登录会话的可靠性和隐私边界不同，不能把弱关联当成已认证身份。
11.6.9 cookie 与缓存
“11.6.9 cookie 与缓存”由缓存键、当前年龄、新鲜寿命、Vary 维度和验证器共同决定；命中不等于新鲜，过期对象也可能通过条件请求复用。
11.6.10 cookie、安全性和隐私
分析“11.6.10 cookie、安全性和隐私”要记录状态由谁创建、存在哪里、何时回送与何时过期；IP 或 User-Agent 等线索只能辅助关联。
11.7 更多信息
“11.7 更多信息”是原书的延伸资料入口，不增加新的协议结论；使用时必须记录资料版本、适用的 HTTP 年代和与本章结论的对应关系。
复原原始HTTP事务
固定URL、资源、连接与版本，写出请求行、首部、主体、响应和所有中间实体。
HTTP/1.1 message laboratory
第11章 客户端识别与cookie 机制
比较HTTP首部、IP、登录、胖URL和Cookie等客户端识别与会话机制
GET /resource?chapter=%E7%AC%AC11%E7%AB%A0%20%E5%AE%A2%E6%88%B7%E7%AB%AF%E8%AF%86%E5%88%AB%E4%B8%8Ecookie%20 HTTP/1.1 Host: example.test Connection: keep-alive
章内坐标：第11章 客户端识别与cookie 机制、11.1 个性化接触、11.2 http 首部、11.3 客户端ip 地址、11.4 用户登录、11.5 胖url、11.6 cookie、11.6.1 cookie 的类型
可复现实验记录
GET /resource HTTP/1.1
Host: example.test
Connection: keep-alive
Accept: */*HTTP/1.1 200 OK
Date: Tue, 01 Jan 2002 00:00:00 GMT
Content-Type: text/plain
Content-Length: 5
helloevidence = request_bytes + response_bytes + tcp_timeline + intermediary_state + recovery动手试：保存一次正常请求、一次缓存或连接边界和一次单变量故障。记录客户端、代理、缓存、网关与源服务器看到的原始报文，以及统一时间戳和恢复动作。
独立证据门
最小证据包包含：首版节点、URL、原始请求/响应、连接时间线、代理与缓存决策、身份和编码、单变量故障、恢复、偏差、责任人与复核人。
练习
练习
问题 1：为什么“第11章 客户端识别与cookie 机制”必须固定2002年首版？
问题 2：怎样构造“把Cookie等同于服务器会话或忽略Domain/Path会造成越权发送和缓存泄漏”的最小反例？
问题 3：何时可以认为本页完成独立交接？
本章回顾
“第11章 客户端识别与cookie 机制”的核心是比较HTTP首部、IP、登录、胖URL和Cookie等客户端识别与会话机制。真正掌握不是记首部名，而是能用原始报文、连接和中间状态证明资源如何被定位、传输、缓存、保护与交付。
名词解释
本章出现的专业名词，用大白话再讲一遍。
- Cookie
服务器通过响应设置并由客户端按作用域随请求返回的小型状态数据。掌握标准是能在原始HTTP报文、中间状态或历史规范中定位，并构造最小失败反例。
- 会话跟踪
把多个无状态HTTP事务关联到同一交互上下文的机制。掌握标准是能在原始HTTP报文、中间状态或历史规范中定位，并构造最小失败反例。
- Domain属性
限制Cookie可发送域范围的属性。掌握标准是能在原始HTTP报文、中间状态或历史规范中定位，并构造最小失败反例。
- Path属性
限制Cookie可发送请求路径范围的属性。掌握标准是能在原始HTTP报文、中间状态或历史规范中定位，并构造最小失败反例。
- 胖URL
把用户状态编码进每个页面链接URL的识别技术。掌握标准是能在原始HTTP报文、中间状态或历史规范中定位，并构造最小失败反例。