Servlet 中 Cookie 完整操作指南：建立、屬性設定、中文編碼、多 Cookie 管理與 Header 替代寫法

Cookie 機制三步驟

1. 伺服器建立 Cookie 並加入響應。
2. 瀏覽器本地儲存 (文字檔)。
3. 後續請求自動攜帶 Cookie 回伺服器。

核心 API (javax.servlet.http.Cookie)

標準寫法範例

Cookie cookie = new Cookie("RMKEY", useResVo.getRmkey());
cookie.setMaxAge(3600);           // 1 小時
cookie.setDomain(".why.com");     // 共享給子域名
cookie.setPath("/");              // 全站有效
response.addCookie(cookie);

多 Cookie 處理

多次 new Cookie(...) 並 response.addCookie()，瀏覽器仍只會在同一域名下維護一個文字檔，內含多組鍵值對。

替代寫法：直接操作 Header (不推薦常規使用)

response.addHeader("Set-Cookie",
    cookieName + "=" + cookieValue +
    ";Path=/;Domain=" + domain +
    ";Max-Age=" + maxAge +
    ";HttpOnly");

優點：可精確控制 HttpOnly、SameSite 等標準屬性 (Servlet 3.1+ Cookie 類已支援 setHttpOnly()、setAttribute("SameSite", "Strict"))。

中文值處理

// 寫入
Cookie c = new Cookie("name", URLEncoder.encode("中文值", "UTF-8"));
// 讀取
String val = URLDecoder.decode(cookie.getValue(), "UTF-8");

最佳實踐

• 敏感資訊勿存 Cookie，改用 Session/Token。
• 設定 HttpOnly=true 防 XSS 竊取。
• HTTPS 環境強制 Secure=true。
• 設定合理 Max-Age，避免永久 Cookie。