Tomcat的Cookies如何运作？

Question

我对有关cookie的几件事情感到困惑。

1. 为什么我需要使用/自定义javax.servlet.http.Cookie课程来实现Remember me功能？

   我的web.xml我不能只使用？：

   <session-config>
       <session-timeout>10080</session-timeout>
   </session-config>
   

2. 在计算机上使用Cookie不是安全问题吗？一个黑客不能窃取另一个用户的cookie并劫持他们的会话吗？

Answer 1

1. 你没有 - 你只需要创建一个http session。 Tomcat将创建一个cookie或使用jsessionid URL参数来维护您的会话 - 这是Java EE servlet specification的一部分。如果您使用JSP，那么他们automatically create http sessions。其他各种事情也可能导致创建会话。

2. 是的，这称为session hijacking。