客戶端會話資料儲存策略：Cookie 與隱藏欄位深度比較

前言

在 Web 應用程式中，將會話資料儲存在客戶端而非伺服器，主要有兩種方案：Cookie 與 隱藏表單欄位。兩者各有優劣，選擇時需權衡專案需求。

一、隱藏欄位

運作原理

利用 HTML `` 標籤，在頁面中內嵌不可見的資料欄位。伺服器端透過 `HttpServletRequest.getParameter()` 讀取值，如同一般表單欄位。

程式碼範例

out.print("");

主要缺點

• 需重寫 HTML：每個頁面都必須動態產生包含隱藏欄位的內容，增加開發複雜度。
• 無物件支援：JSDK 僅以字串處理隱藏欄位，開發者需自行建立架構序列化/反序列化物件。
• 資料重複傳輸：多頁流程中，先前頁面的資料會層層疊加傳遞，導致頻寬浪費與下載延遲。
• 舊系統整合困難：混合 CGI/舊版 HTML 頁面的網站，隱藏資料在頁面間跳轉時易遺失，除非修改所有舊頁面。
• 安全性風險：資料以明文傳輸，除非加密，否則不宜存放敏感資訊。

適用情境

安全性要求不高、舊頁面較少、頁面層級淺、且不願綁定伺服器親和性的小型專案。

二、Cookie

運作原理

將會話資料序列化為字串，存入 `HttpServletResponse` 的 Cookie 物件中，瀏覽器自動在後續請求攜帶回送。

程式碼範例

Cookie cookie = new Cookie("sessionData", stateString);
cookie.setDomain(".example.com");
cookie.setPath("/");
cookie.setVersion(0);
response.addCookie(cookie);

優勢

• 無需重寫 HTML：瀏覽器自動管理 Cookie 傳遞。
• 跨技術共享：JavaScript、CGI 等非 Java 資源皆可讀取。
• 靈活的生命週期控制：可設定過期時間、路徑、域名範圍。

關鍵限制

• 容量上限 4KB：單一 Cookie 標頭不得超過 4KB，含所有同域名 Cookie。大量資料需自行分片或壓縮。
• 用戶可停用：瀏覽器允許關閉 Cookie，需備援機制或提示用戶啟用。
• 跨域限制：同級域名（如 `winesrus.com` 與 `beerisius.com`）無法互通 Cookie；子域名可讀父域名 Cookie，反之不可。
• 數量限制：單一域名 Cookie 數量受瀏覽器限制，需多瀏覽器測試。
• 安全性同樣堪慮：明文傳輸，敏感資料必須加密。

三、綜合建議

對於大多數企業級應用，伺服器端 Session 機制（搭配 Session ID Cookie 或 URL 重寫）仍是更穩健、安全且可擴展的選擇。客戶端儲存方案宜作為輔助或特定場景（如無狀態認證 Token）使用。