通过HTTPS读取使用HTTP设置的cookie

Question

可以使用HTTPS读取使用HTTP设置的Cookie吗？

Answer 1

使用“安全”关键字设置的Cookie只有在通过安全方式（HTTPS）连接时才会由浏览器发送。除此之外没有区别 - 如果没有“安全”，cookie可能会通过不安全的连接发送。

换句话说，要保护内容的cookie应使用secure关键字，并且只有当用户通过HTTPS连接时才应将它们从服务器发送到浏览器。

• HTTP ：只有 HTTPS 连接才能返回带有“安全”的Cookie （无意义，请参阅下面的说明）
• HTTPS ：只有 HTTPS 连接
才会返回Cookie 并显示“安全”
• HTTP ：Cookie 没有“安全”将在 HTTP 或 HTTPS 连接
上返回
• HTTPS ：Cookie 没有“安全”将在 HTTP 或 HTTPS 连接上返回（可能会泄露安全信息）

---

参考：RFC 2109 见4.2.2（第4页），4.3.1

注意：在实施Strict Secure Cookies specification后，不再可能在Firefox和Chrome上的不安全（例如HTTP）来源上设置“安全”Cookie。