安全技术学习笔记与分享5——cookie，状态码，HTTP身份验证

cookie是一个关键部分，服务端使用cookie机制向客户端发送数据，客户端保存cookie并将其返回服务端。每一个请求都会向服务器提交cookie。其中set-cookie中可以设置一些可选的属性：
expires用于设定cookie的有效时间。
domain用于指定cookie的有效域。
path用于指定cookie的有效url路径。
secure，如果拥有这个属性，则仅在HTTPS请求中提交cookie。
HttpOnly，如果有这个属性，将无法通过客户端javascript直接访问cookie。
上面的几个属性都有可能影响应用程序的安全，攻击者可以利用此来向其他用户发动攻击。后续会补充主要攻击方式。

状态码包含的主要是5类，状态码较多，不一一赘述，下面只写一些个人归纳。
1xx——提供信息（服务器的相关信息提交返回）
2xx——请求被成功提交。
3xx——客户端被重定向到其他资源。（如一些URL，或者图片影视资源等）
4xx——请求包含某种错误。（如404-网页未找到）
5xx——服务器执行请求遇到错误。（如500-可能出现服务出错）

HTTP身份验证，最简单使用的是Basic。在消息头中随每条消息以Base64编码字符串的形式发送用户证书。
NTLM和Digest都是一种质询-响应式机制，第一个使用windows NTLM协议版本。第二个则是随同用户证书一起使用一个随机值校验和。

另外，澄清一下自己的错误观念，不知道一起学习分享的各位有没有意识到，我们认为HTTP身份验证以未加密方式发送，反而不安全，但是这里经过我看的很多银行网页和商业网页，都使用了HTTP身份验证，再以HTTPS的传输方式，来防止任何HTTP消息的窃听攻击，而这种方式是很多安全意识比较高的应用程序使用的机制。个人的一点反思，不知道各位了解网络窃听的老大们怎么看。

今天的分享到这里结束！