骶突峒觳獾叫薷牟⑸境� Cookie。
多值 Cookie（子键）
以上示例为每个要保存的值（用户名、上次访问时间）都使用了一个 Cookie 。您也可以在一个 Cookie 中保存多个名称/值对。名称/值对也称作“键”或“子键”，具体取决于您读取的内容。（如果您熟悉 URL 的结构，就会发现子键与其中的查询字符串非常相象。） 例如，如果不希望创建名为“userName”和“lastVisit”的两个单独的 Cookie，可以创建一个名为“userInfo”的 Cookie，并使其包含两个子键：“userName”和“lastVisit”。
有很多原因会让我们用子键来代替单独的 Cookie。最显而易见的是，把相关或类似的信息放在一个 Cookie 中会比较有条理。另外，由于所有信息都在一个 Cookie 中，所以诸如有效期之类的 Cookie 属性就适用于所有信息。（当然，如果要为不同类型的信息指定不同的过期日期，就应该把信息保存在单独的 Cookie 中。）
带有子键的 Cookie 还可以帮助您减小 Cookie 的大小。如前面的 Cookie 的限制一节所述，Cookie 的总大小限制在 4096 字节以内，而且不能为一个网站保存超过 20 个 Cookie。利用带子键的单个 Cookie，站点的 Cookie 数量就不会超过 20 个的限制。此外，一个 Cookie 会占用大约 50 个字符的基本空间开销（用于保存有效期信息等），再加上其中保存的值的长度，其总和接近 4K 的限制。如果使用五个子键而不是五个单独的 Cookie，您可以省去四个 Cookie 的基本空间开销，总共能节省大约 200 个字节。
要创建带子键的 Cookie，您可以使用用于编写单个 Cookie 的各种语法。以下示例显示了编写同一 Cookie 的两种不同方法，其中的每个 Cookie 都带有两个子键：
Response.Cookies("userInfo")("userName") = "mike"
Response.Cookies("userInfo")("lastVisit") = DateTime.Now.ToString
Response.Cookies("userInfo").Expires = DateTime.Now.AddDays(1)
Dim aCookie As New HttpCookie("userInfo")
aCookie.Values("userName") = "mike"
aCookie.Values("lastVisit") = DateTime.Now.ToString
aCookie.Expires = DateTime.Now.AddDays(1)
Response.Cookies.Add(aCookie)
控制 Cookie 有效范围
默认情况下，一个站点的全部 Cookie 都一起保存在客户机上，而且所有这些 Cookie 都会随着对该站点发送的请求一起发送到服务器，也就是说，站点的每个页面都能得到该站点的所有 Cookie。但有时候，您可能希望 Cookie 更具有针对性，这时，您可以通过两种方法设置 Cookie 的有效范围：
把 Cookie 的有效范围限制在服务器上的一个文件夹中，实际上这样就将 Cookie 限制到站点上的某个应用程序。
把有效范围设置为某个域，从而允许您指定域中的哪些子域可以访问 Cookie。
将 Cookie 限制到某个文件夹或应用程序
要将 Cookie 限制到服务器上的某个文件夹，请按如下方法设置 Cookie 的 Path 属性：
Dim appCookie As New HttpCookie("AppCookie")
appCookie.Value = "written " & Now.ToString
appCookie.Expires = Now.AddDays(1)
appCookie.Path = "/Application1"
Response.Cookies.Add(appCookie)
当然，您也可以通过直接设置 Response.Cookies 来编写 Cookie，如前文所述。
路径可以是站点根目录下的物理路径，也可以是虚拟根目录。这样一来，Cookie 就只能用于 Application1 文件夹或虚拟根目录中的页面。例如，如果您的站点名为 www.contoso.com，则前面示例中生成的 Cookie 就只能用于路径为 http://www.contoso.com/Application1/ 的页面以及该文件夹下的所有页面，而不适用于其他应用程序中的页面，如 http://www.contoso.com/Application2/ 或 http://www.contoso.com/ 下的页面。
提示：通过对 Internet Explorer 和 Mozilla 浏览器进行测试发现，此处使用的路径是区分大小写的。一般而言，Windows 服务器上的 URL 不区分大小写，但这种情况例外。您无法控制用户如何在浏览器中输入 URL，但是，如果您的应用程序依赖于与特定路径相关的 Cookie，则请确保您所创建的所有超链接中的 URL 与 Path 属性值的大小写相匹配。
将 Cookie 的有效范围限制到域
默认情况下，Cookie 与特定的域相关联。例如，如果您的站点是 www.contoso.com，那么当用户向该站点请求页面时，您编写的 Cookie 就被发送到服务器。（有特定路径值的 Cookie 除外，我在上一节刚刚解释过。） 如果您的站点有子域（例如 contoso.com、sales.contoso.com 和 support.contoso.com），就可以把 Cookie 同特定的子域相关联。为此，需要设置 Cookie 的 Domain 属性，如下所示：
Response.Cookies("domain").Value = DateTime.Now.ToString
Response.Cookies("domain").Expires = DateTime.Now.AddDays(1)
Response.Cookies("domain").Domain = "support.contoso.com"
如果按照这种方式设置域，则 Cookie 只能用于指定子域中的页面。
您也可以利用 Domain 属性来创建可在多个子域中共享的 Cookie。例如，对域进行如下设置：
Response.Cookies("domain").Value = DateTime.Now.ToString
Response.Cookies("domain").Expires = DateTime.Now.AddDays(1)
Response.Cookies("domain").Domain = "contoso.com"
这样，该 Cookie 就可用于主域、sales.contoso.com 和 support.contoso.com。
读取 Cookie
当浏览器向服务器发送请求时，该服务器的 Cookie 会与请求一起发送。在 ASP.NET 应用程序中，您可以使用 Request 对象来读取 Cookie。Request 对象的结构与 Response 对象的结构基本相同，所以从 Request 对象中读取 Cookie 的方法与向 Response 对象中写入 Cookie 的方法非常类似。以下示例显示了两种方法，目的都是获取名为“username”的 Cookie 的值并将值显示在 Label 控件中：
If Not Request.Cookies("userName") Is Nothing Then
Label1.Text = Server.HtmlEncode(Request.Cookies("userName").Value)
End If
If Not Request.Cookies("userName") Is Nothing Then
Dim aCookie As HttpCookie = Request.Cookies("userName")
Label1.Text = Server.HtmlEncode(aCookie.Value)
End If
在获取 Cookie 的值之前，应该确保该 Cookie 确实存在。否则，您将得到一个 System.NullReferenceException（英文）异常。还需要注意的是，在页面中显示 Cookie 的内容之前，我调用了 HttpServerUtility.HtmlEncode（英文）方法对 Cookie 的内容进行编码。之所以这样做，是因为我要显示 Cookie 的内容（一般您不会这样做）而且要确保没有任何恶意用户在 Cookie 中添加了可执行脚本。有关 Cookie 安全性的详细信息，请参阅 Cookie 和安全性。
注意：由于不同的浏览器保存 Cookie 的方式也不同，所以同一台计算机上的不同浏览器不一定能够相互读取各自的 Cookie。例如，如果使用 Internet Explorer 测试一个页面，然后再使用其他浏览器进行测试，那么后者就不会找到 Internet Explorer 保存的 Cookie。当然，大多数人一般都是使用同一种浏览器进行 Web 交互的，因此在大多数情况下不会出现问题。但有时还是会遇到问题，比如您要测试应用程序对浏览器的兼容性。
读取 Cookie 中子键值的方法与设置该值的方法类似。以下是获取子键值的一种方法：
If Not Request.Cookies("userInfo") Is Nothing Then
Label1.Text = Server.HtmlEncode(Request.Cookies("userInfo")("userName"))
Label2.text = Server.HtmlEncode(Request.Cookies("userInfo")("lastVisit"))
End If
在上面的示例中，我获取的是子键“lastVist”的值，在此前的讨论中我把该值设置为 DateTime 值的字符串表示形式。请记住，Cookie 是用字符串的形式保存值的，所以要将 lastVisit 值用作日期，就必须对其进行转换：
Dim dt As DateTime
dt = CDate(Request.Cookies("userInfo")("lastVisit"))
Cookie 中子键的类型是 NameValueCollection（英文）类型的集合。因此，另一种获取单个子键的方法是先获取子键集合，然后按名称提取子键的值，如下所示：
If Not Request.Cookies("userInfo") Is Nothing Then
Dim UserInfoCookieCollection As _
System.Collections.Specialized.NameValueCollection
UserInfoCookieCollection = Request.Cookies("userInfo").Values
Label1.Text = Server.HtmlEncode(UserInfoCookieCollection("userName"))
Label2.Text = Server.HtmlEncode(UserInfoCookieCollection("lastVisit"))
End If
就像设置 Cookie 一样，使用哪种方法读取 Cookie 也由您自己决定。
什么是有效期？
您可以读取 Cookie 的名称和值，除此以外，需要了解的有关 Cookie 的信息并不是很多。虽然您可以获取 Domain 和 Path 属性，但是这些属性的用途很有限。例如，您可以读取 Domain 属性，但如果您的页面与 Cookie 不在相同的域，您根本就不会在页面的位置接收到该 Cookie。
您无法读取的是 Cookie 的过期日期和时间。事实上，当浏览器向服务器发送 Cookie 信息时，浏览器并未将过期信息包括在内。您可以读取 Expires 属性，但总是返回为零的日期/时间值。
在前面的编写 Cookie 一节中，我已经讲过，是浏览器负责管理 Cookie 的，Expires 属性就很好地印证了这一点。Expires 属性的主要作用是帮助浏览器执行有关 Cookie 保存的日常管理。从服务器的角度来看，Cookie 要么存在要么不存在，所以对服务器而言，有效期并不是有用的信息。所以，浏览器在发送 Cookie 时并不提供此信息。如果您需要 Cookie 的过期日期，就必须重新设置，关于这一点我将在修改和删除 Cookie 中介绍。
更确切地说，您可以在向浏览器发送 Cookie 之前读取已在 Response 对象中设置的 Expires 属性，但您无法从返回的 Request 对象中获取有效期信息。
读取 Cookie 集合
前面的示例假设您要读取名称已知的 Cookie。有时，您可能需要读取可供页面使用的所有 Cookie。要读取可供页面使用的所有 Cookie 的名称和值，您可以利用如下代码遍历 Request.Cookies 集合：
Dim i As Integer
Dim output As String = ""
Dim aCookie As HttpCookie
For i = 0 to Request.Cookies.Count - 1
aCookie = Request.Cookies(i)
output &= "Cookie 名称 = " & Server.HtmlEncode(aCookie.Name) & "
"
output &= "Cookie 值 = " & Server.HtmlEncode(aCookie.Value) & _
& "
"
Next
Label1.Text = output
注意：运行此代码时，您很可能会看到一个名为“ASP.NET_SessionId”的 Cookie，ASP.NET 用这个 Cookie 来保存您的会话的唯一标识符。这个会话 Cookie 不会永久保存到您的硬盘上。有关会话 Cookie 的详细信息，请参阅本文后面的 Cookie 和会话状态。
前面的示例有一个限制：如果 Cookie 有子键，就会以一个单独的名称/值字符串来显示子键。Cookie 的 HasKeys（英文）属性可以告诉您该 Cookie 是否有子键。如果有子键，您可以在子键集合中向下钻取，获取各个子键的名称和值。
如前文所述，您可以从 Cookie 属性 Values（英文）中获取有关子键的信息，该属性是类型 NameValueCollection 的集合。您可以根据索引值从 Values 集合中直接读取子键值。相应的子键值可以从 Values 集合的成员 AllKeys（英文）中得到，该成员将返回一个字符串集合。
以下示例是对前一示例的修改。示例中使用 HasKeys 属性来测试子键，如果检测到子键，就从 Values 集合中获取子键：
Dim i As Integer
Dim j As Integer
Dim output As String = ""
Dim aCookie As HttpCookie
Dim subkeyName As String
Dim subkeyValue As String
For i = 0 To Request.Cookies.Count - 1
aCookie = Request.Cookies(i)
output &= "名称 = " & aCookie.Name & "
"
If aCookie.HasKeys Then
For j = 0 To aCookie.Values.Count - 1
subkeyName = Server.HtmlEncode(aCookie.Values.AllKeys(j))
subkeyValue = Server.HtmlEncode(aCookie.Values(j))
output &= "子键名称 = " & subkeyName & "
"
output &= "子键值 = " & subkeyValue & "
"
Next
Else
output &= "值 = " & Server.HtmlEncode(aCookie.Value) & "
"
End If
Next
Label1.Text = output
您也可以把子键作为 NameValueCollection 对象进行提取，如下所示：
If aCookie.HasKeys Then
Dim CookieValues As _
System.Collections.Specialized.NameValueCollection = aCookie.Values
Dim CookieValueNames() As String = CookieValues.AllKeys
For j = 0 To CookieValues.Count ?C 1
subkeyName = Server.HtmlEncode(CookieValueNames(j))
subkeyValue = Server.HtmlEncode(CookieValues(j))
output &= "子键名称 = " & subkeyName & "
"
output &= "子键值 = " & subkeyValue & "
"
Next
Else
output &= "值 = " & aCookie.Value & "
"
End If
注意：请记住，我之所以调用 Server.HtmlEncode 方法，只是因为我要在页面上显示 Cookie 的值。如果您只是测试 Cookie 的值，就不必在使用前对其进行编码。
修改和删除 Cookie
有时，您可能需要修改某个 Cookie，更改其值或延长其有效期。（请记住，由于浏览器不会把有效期信息传递到服务器，所以您无法读取 Cookie 的过期日期。）
当然，实际上您并不是直接更改 Cookie。尽管您可以从 Request.Cookies 集合中获取 Cookie 并对其进行操作，但 Cookie 本身仍然存在于用户硬盘上的某个地方。因此，修改某个 Cookie 实际上是指用新的值创建新的 Cookie，并把该 Cookie 发送到浏览器，覆盖客户机上旧的 Cookie。
以下示例说明了如何更改用于储存站点访问次数的 Cookie 的值：
Dim counter As Integer
If Request.Cookies("counter") Is Nothing Then
counter = 0
Else
counter = CInt(Request.Cookies("counter").Value)
End If
counter += 1
Response.Cookies("counter").Value = counter.ToString
Response.Cookies("counter").Expires = DateTime.Now.AddDays(1)
或者：
Dim ctrCookie As HttpCookie
Dim counter As Integer
If Request.Cookies("counter") Is Nothing Then
ctrCookie = New HttpCookie("counter")
Else
ctrCookie = Request.Cookies("counter")
End If
counter = CInt(ctrCookie.Value) + 1
ctrCookie.Value = counter.ToString
ctrCookie.Expires = DateTime.Now.AddDays(1)
Response.Cookies.Add(ctrCookie)
删除 Cookie
删除 Cookie（即把该 Cookie 从用户的硬盘上物理删除）是修改 Cookie 的一种形式。由于 Cookie 位于用户的计算机中，所以您无法直接将其删除。但是，您可以让浏览器为您删除 Cookie。修改 Cookie 的方法前面已经介绍过（即用相同的名称创建一个新的 Cookie），不同的是将其有效期设置为过去的某个日期。当浏览器检查 Cookie 的有效期时，就会删除这个已过期的 Cookie。
所以，删除 Cookie 的方法与创建该 Cookie 的方法是相同的，只不过要把其有效期设置为过去的某个日期。以下示例比删除单个 Cookie 要稍微有趣一些，它使用的方法可以删除当前域的所有 Cookie：
Dim i As Integer
Dim cookieName As String
Dim limit As Integer = Request.Cookies.Count - 1
For i = 0 To limit
aCookie = Request.Cookies(i)
aCookie.Expires = DateTime.Now.AddDays(-1)
Response.Cookies.Add(aCookie)
Next
修改或删除子键
修改单个子键的方法与最初创建它的方法相同：
Response.Cookies("userInfo")("lastVisit") = DateTime.Now.ToString
Response.Cookies("userInfo").Expires = DateTime.Now.AddDays(1)
比较复杂的问题是如何删除单个子键。您不能只是简单地重新设置 Cookie 的过期日期，因为这样只能删除整个 Cookie 而不能删除单个子键。实际的解决方案是对包含子键的 Cookie 的 Values 集合进行操作。首先，通过从 Request.Cookies 对象中获取 Cookie 来重新创建 Cookie。然后，您就可以调用 Values 集合的 Remove 方法，将要删除的子键名称传递到 Remove 方法。接下来，您通常可以将修改后的 Cookie 添加到 Response.Cookies 集合，以便将修改后的 Cookie 发送回浏览器。
以下代码显示了如何删除子键。在示例中，要删除的子键的名称在变量中指定。
Dim subkeyName As String
subkeyName = "userName"
Dim aCookie As HttpCookie = Request.Cookies("userInfo")
aCookie.Values.Remove(subkeyName)
aCookie.Expires = DateTime.Now.AddDays(1)
Response.Cookies.Add(aCookie)
Cookie 与安全性
在使用 Cookie 时，您必须意识到其固有的安全弱点。我所指的安全性并不是隐私问题，正如我在前面的什么是 Cookie？中所述，隐私在更大程度上是某些用户面对的问题：这些用户很关心 Cookie 中的信息是如何被使用的。而 Cookie 的安全性问题与从客户机获取数据的安全性问题类似。对于初学者，就应用程序而言，Cookie 是用户输入的另一种形式，因而很容易被他人非法获取和利用。由于 Cookie 保存在用户自己的计算机上，所以用户至少可以看到您保存在 Cookie 中的信息。如果用户愿意，还能在浏览器向您发送 Cookie 之前修改该 Cookie。
所以，您千万不要在 Cookie 中保存保密信息 - 用户名、密码、信用卡号等等。在 Cookie 中不要保存不应该由用户掌握的内容，也不要保存可能被其他窃取 Cookie 的人控制的内容。
同样，要对从 Cookie 中得到的任何信息都持怀疑态度。不要认为得到的数据就是您当初设想的信息。处理 Cookie 值时采用的安全措施应该与处理 Web 页面中用户键入的数据时采用的安全措施相同。例如，在页面中显示值之前，我会对 Cookie 中的内容进行 HTML 编码。这是一种标准的方法，可以在显示之前净化从用户处得到的信息，对 Cookie 的处理与此相同。
另一个需要关心的问题是，Cookie 是以纯文本的形式在浏览器和服务器之间传送的，任何可以截取 Web 通信的人都可以读取 Cookie。您可以对 Cookie 的属性进行设置，使其只能在使用安全套接字层（SSL，又称 https://）的连接上传输。SSL 并不能防止保存在用户计算机上的 Cookie 被他人读取或操作，但它能防止 Cookie 在传输途中被他人截取。本文不讨论 SSL，但您必须清楚，您可以对 Cookie 进行传输保护。有关 SSL 的详细信息，请参阅 Secure Sockets Layer: Protect Your E-Commerce Web Site with SSL and Digital Certificates（英文）。
面对这些安全问题，如何才能安全地使用 Cookie？您可以在 Cookie 中保存一些不重要的数据，如用户首选项或其他对应用程序没有重大影响的信息。如果确实需要把某些敏感信息（如用户 ID）保存在 Cookie 中，就对这些信息进行加密。一种可行的方法是利用 ASP.NET Forms Authentication 实用程序创建一个身份验证票据，作为 Cookie 保存。本文不讨论有关加密的问题，但是，如果您需要在 Cookie 中保存敏感信息，就应该试着采取措施来隐藏信息，防止被他人盗用。
在 Mitigating Cross-site Scripting With HTTP-only Cookies（英文）一文中，您可以了解到更多有关 Cookie 及其安全弱点的信息。
检查浏览器是否接受 Cookie
我在前面的 Cookie 的限制一节中曾经提到一个潜在问题，即用户可以设置自己的浏览器拒绝接受 Cookie。如何才能知道您是否可以读写 Cookie？在不能写入 Cookie 时不会出现任何错误（例如 Response.Cookies 不会抛出异常），因为服务器并不跟踪呈现页面后出现的情况。浏览器同样不会向服务器发送任何有关其当前的 Cookie 设置的信息。（也许您需要了解，但 HttpBrowserCapabilities.Cookies Property [英文] 属性并不会告诉您 Cookie 是否被启用，而只能告诉您当前的浏览器是否支持 Cookie。）
一种确定浏览器是否接受 Cookie 的方法是先编写一个 Cookie，然后再尝试读取这个 Cookie。如果不能读取这个 Cookie，则可以认为该浏览器不接受 Cookie。
我编写了一个简单的示例来说明如何测试 Cookie 是否被接受。该示例包含两个页面。在第一个页面中，我编写了一个 Cookie，然后把浏览器重新定向到第二个页面。第二个页面尝试读取这个 Cookie，转而将浏览器重新定向到第一个页面，并向 URL 添加一个带有测试结果的查询字符串变量。
第一个页面的代码如下：
Sub Page_Load()
If Not Page.IsPostBack Then
If Request.QueryString("AcceptsCookies") Is Nothing Then
Response.Cookies("TestCookie").Value = "ok"
Response.Cookies("TestCookie").Expires = DateTime.Now.AddMinutes(1)
Response.Redirect("TestForCookies.aspx?redirect="Server.UrlEncode(Request.Url.ToString))
Else
labelAcceptsCookies.Text = "接受 Cookie = "Request.QueryString("AcceptsCookies")
End If
End If
End Sub
第一个页面测试是否有回信，如果没有，就搜索包含测试结果的查询字符串变量 (AcceptsCookies)。如果没有找到查询字符串变量，则表示测试还没有完成，代码就写出一个名为“TestCookie”的 Cookie。写出 Cookie 之后，示例调用 Response.Redirect 来切换到测试页面 (TestForCookies.aspx)。附加到测试页面的 URL 的是名为 redirect 的查询字符串变量，该变量中包含了当前页面的 URL，这样就能在执行测试后把重定向到该页面。
测试页面可以完全由代码组成，不需要包含控件。以下就是我使用的代码：
Sub Page_Load()
Dim redirect As String = Request.QueryString("redirect")
Dim acceptsCookies As String
' 是否接受 Cookie？
If Request.Cookies("TestCookie") Is Nothing Then
' 没有 Cookie，因此不需要接受
acceptsCookies = 0
Else
acceptsCookies = 1
' 删除测试 Cookie
Response.Cookies("TestCookie").Expires =DateTime.Now.AddDays(-1)
End If
Response.Redirect(redirect & "?AcceptsCookies=" & acceptsCookies,True)
End Sub
读取 redirect 查询字符串变量后，代码就尝试读取 Cookie。为了实现日常管理，如果该 Cookie 确实存在，就会被立即删除。测试完成后，代码从 redirect 查询字符串变量传递的 URL 构造一个新的 URL。新的 URL 也包括�
|
收 藏
投 稿
繁 体
RSS 
欢迎在本站发布信息，在线投递稿件
我要投稿
打印本文
推荐本文
加入收藏
返回顶部
关闭窗口
