缓存忽略 Set-Cookie 标头，但后续的“Cookie”标头会导致会话中毒

【问题标题】：Set-Cookie Headers ignored by Cache, but can subsequent "Cookie" headers cause session-poisoning缓存忽略 Set-Cookie 标头，但后续的“Cookie”标头会导致会话中毒
【发布时间】：2014-02-18 16:12:39
【问题描述】：

由于文档中的建议，我在我的 Apache 磁盘缓存模块上添加了 IgnoreHeaders for Set-Cookie（希望避免会话污染）。有人说，后续的 Cookie 标头不会被缓存并且仍然会导致问题，我想知道事实是否如此。我在 RHEL Linux 2.6 内核上使用带有 mod_disk_cache 的 Apache 2.2.3

【问题讨论】：

标签： http caching cookies header

【解决方案1】：

以防万一有人有同样的问题：这里的逻辑是 Set-Cookie 是一个响应 Header，而 Cookie 是一个请求头。如果没有缓存 Set-Cookie 响应，那么任何客户端都应该只使用有效的 cookie（因为它们不会得到缓存的）。因此，他们的 cookie 应该是有效且安全的。现在对我来说似乎很明显。

【讨论】：