深入解析Cookie的构造与安全机制——以京东为例

原创于 2025-08-16 23:59:21 发布 · 930 阅读

14 ·

CC 4.0 BY-SA版权

文章标签：

#安全

包罗万象专栏收录该内容

725 篇文章

订阅专栏

个人名片

🎓作者简介：java领域优质创作者
🌐个人主页：码农阿豪
📞工作室：新空间代码工作室（提供各种软件服务）
💌个人邮箱：[2435024119@qq.com]
📱个人微信：15279484656
🌐个人导航网站：www.forff.top
💡座右铭：总有人要赢。为什么不能是我呢？

专栏导航：

码农阿豪系列专栏导航
面试专栏：收集了java相关高频面试题，面试实战总结🍻🎉🖥️
Spring5系列专栏：整理了Spring5重要知识点与实战演练，有案例可直接使用🚀🔧💻
Redis专栏：Redis从零到一学习分享，经验总结，案例实战💐📝💡
全栈系列专栏：海纳百川有容乃大，可能你想要的东西里面都有🤸🌱🚀

深入解析Cookie的构造与安全机制——以京东为例

1. 引言

Cookie是Web开发中不可或缺的一部分，用于存储用户会话、身份验证、个性化设置等信息。本文将以京东（JD）的Cookie为例，详细解析其构造、作用及安全机制，并结合Java代码演示如何解析和处理Cookie。

2. Cookie的基本概念

2.1 什么是Cookie？

Cookie是服务器发送到用户浏览器并保存在本地的一小段数据，用于记录用户状态（如登录信息、购物车数据等）。

2.2 Cookie的组成

一个Cookie通常包含：

Name （名称）
Value （值）
Domain （所属域名）
Path （生效路径）
Expires/Max-Age （过期时间）
Secure （仅HTTPS传输）
HttpOnly （禁止JavaScript访问）

3. 京东Cookie的详细解析

以下是一个典型的京东Cookie示例：

QRCodeKey=AAEAIKeVmYG22NM6RjhAljyhY9rrCvhcZ1qvQ_9o__4fitoY; 
wlfstk_smdl=4rjyhp851mxwvue6kxantbaptaa0r59w; 
flash=3_pIDSGRueCRbWCyY_kphq4cr1k1ortgRzUcvevE865ItW4ak_X_ZLxUyfxLUVLrbVUHwu3nXLw38fy99gjh4DSAnhnI65DrzzWacaqfQ0kwQIxsgEOi46LGwwX28aErDpGptwduqoULKBSjSKCrir0m8kBaNvkKfa3PSxde0VbEQ04jDny3K*; 
pin=%E6%B9%AB%E6%B5%A9%E5%8F%91%E9%85%92%E6%B0%B4; 
unick=lb853bo4reo1gt; 
__jda=27045664.17551867538952021426786.1755186754.1755186754.1755186754.1; 
__jdc=27045664; 
__jdv=27045664|direct|-|none|-|1755186753895; 
3AB9D23F7A4B3C9B=TQ5Y7ALYQED3EWBAGCSIHA3VD3JJTAEULWQBKI2THGJVLI6FBALYXIGOTPFNMS6SEDLJDUSF56ZQE5PYYCZT6JFRAU; 
__jdb=27045664.12.17551867538952021426786|1.1755186754; 
thor=994FF5722EE22178CB87CCACF0795C280CF23CDBEEB7E9AF49F6072813D614C847ED2C2DC4B3C69C5A613C2B0831B6DA7AFB6C48AF594A3562B21D2EE2553E0B56929C6BD2866B5EE35566FB19B50D96B34DCDD5F54A42AEBEF42DB796D263713B883AC15EBE6F10894AC1FA6E718A58C2F0367A4856C266270A6D86AA66BFCF; 
light_key=AASBKE7rOxgWQziEhC_QY6yags0vuDX35FTVkzT13qBPE4-iGZF7NdUXHTs8UK5ZBD4_xhuY

3.1 认证相关Cookie

(1) `thor`

用途：可能是加密的会话Token，用于身份验证。
特点：长度极长（512字符），可能是AES或RSA加密的JWT（JSON Web Token）。
Java解析示例（假设是JWT）：

import io.jsonwebtoken.Claims;
import io.jsonwebtoken.Jwts;

public class JwtParser {
    public static void main(String[] args) {
        String thorToken = "994FF5722EE22178CB87CCACF0795C280CF23CDBEEB7E9AF49F6072813D614C847ED2C2DC4B3C69C5A613C2B0831B6DA7AFB6C48AF594A3562B21D2EE2553E0B56929C6BD2866B5EE35566FB19B50D96B34DCDD5F54A42AEBEF42DB796D263713B883AC15EBE6F10894AC1FA6E718A58C2F0367A4856C266270A6D86AA66BFCF";
        try {
            Claims claims = Jwts.parser()
                .setSigningKey("JD_SECRET_KEY".getBytes()) // 需要服务器密钥
                .parseClaimsJws(thorToken)
                .getBody();
            System.out.println("User ID: " + claims.getSubject());
        } catch (Exception e) {
            System.out.println("Invalid Token");
        }
    }
}

(2) `3AB9D23F7A4B3C9B`

用途：可能是用户会话ID，用于服务端识别用户。
特点：键名随机，值较长（Base64编码）。

3.2 用户跟踪与分析Cookie

(1) `jda`, `jdb`, `jdc`, `jdv`

用途：用于用户行为分析（如来源渠道、访问时间等）。
示例解析：

public class JdTrackerParser {
    public static void main(String[] args) {
        String jda = "27045664.17551867538952021426786.1755186754.1755186754.1755186754.1";
        String[] parts = jda.split("\\.");
        System.out.println("User ID: " + parts[0]);
        System.out.println("First Visit Time: " + parts[1]);
    }
}

3.3 安全防护Cookie

(1) `wlfstk_smdl`

用途：反CSRF（跨站请求伪造）Token。
特点：随机字符串，每次请求变化。

(2) `Secure` 和 `HttpOnly`

京东的Cookie可能设置了 HttpOnly（防止XSS攻击）和 Secure（仅HTTPS传输）。

3.4 用户信息Cookie

(1) `pin`

用途：存储用户昵称（URL编码）。
Java解码示例：

import java.net.URLDecoder;
import java.nio.charset.StandardCharsets;

public class PinDecoder {
    public static void main(String[] args) {
        String pin = "%E6%B9%AB%E6%B5%A9%E5%8F%91%E9%85%92%E6%B0%B4";
        String decodedPin = URLDecoder.decode(pin, StandardCharsets.UTF_8);
        System.out.println("Decoded Pin: " + decodedPin); // 输出：泓浩发酒水
    }
}

4. Cookie的安全机制

4.1 防止CSRF攻击

使用 wlfstk_smdl 作为Token，服务端验证请求是否携带合法Token。

4.2 防止XSS攻击

设置 HttpOnly，禁止JavaScript读取敏感Cookie。

4.3 防止会话劫持

使用 Secure 确保Cookie仅通过HTTPS传输。
关键Token（如 thor）采用强加密。

5. 如何在Java中操作Cookie

5.1 解析Cookie

import javax.servlet.http.Cookie;
import javax.servlet.http.HttpServletRequest;

public class CookieParser {
    public static void main(String[] args) {
        HttpServletRequest request = ...; // 获取请求对象
        Cookie[] cookies = request.getCookies();
        if (cookies != null) {
            for (Cookie cookie : cookies) {
                System.out.println(cookie.getName() + " = " + cookie.getValue());
            }
        }
    }
}

5.2 设置Cookie

import javax.servlet.http.Cookie;
import javax.servlet.http.HttpServletResponse;

public class CookieSetter {
    public static void main(String[] args) {
        HttpServletResponse response = ...; // 获取响应对象
        Cookie cookie = new Cookie("test_cookie", "12345");
        cookie.setMaxAge(3600); // 1小时过期
        cookie.setHttpOnly(true);
        cookie.setSecure(true);
        response.addCookie(cookie);
    }
}