基于 Cookie 的会话
使用安全的仅 HTTP Cookie 创建和管理服务器端会话。
基于 Cookie 的会话 是 CoddyKit 上的免费 Sveltejs Academy 课时。 这是第 1 节课，共 4 节。 你可以在下方免费阅读本课时的完整内容 — 然后在浏览器中使用内置代码编辑器和全天候 AI 导师进行实践。 这是 Sveltejs Academy 学习路径的一部分，你的进度在网页和 CoddyKit 应用中同步。 Sveltejs Academy 课程共包含 4 节课。
为什么使用 Cookie
Cookie 是在页面加载之间持久保存身份验证状态的最可靠方式，尤其适用于 SSR 应用。
仅限 HTTP
仅限 HTTP 的 Cookie 不能被 JavaScript 读取，从而可以防止 XSS 窃取会话令牌。
安全与 SameSite
在生产环境中始终设置 secure: true，并设置 sameSite: "lax" 来缓解 CSRF。
设置会话 Cookie
在操作或端点中使用 cookies 辅助工具。
cookies.set("sessionId", sid, {
path: "/",
httpOnly: true,
secure: true,
sameSite: "lax",
maxAge: 60 * 60 * 24 * 7
});读取会话
在钩子中读取 Cookie，并将会话解析为用户对象。
const sid = event.cookies.get("sessionId");
event.locals.user = await db.session.findUser(sid);退出登录
删除 Cookie 即可退出登录。
cookies.delete("sessionId", { path: "/" });服务器端存储
将会话详细信息（用户 ID、过期时间）存储在数据库或高速缓存（Redis）中。
过期与续期
定期轮换会话 ID，并在密码更改等敏感操作后再次轮换。
CSRF 防护
SvelteKit 默认通过来源检查来防止表单操作中的 CSRF。
仅使用 HTTPS
始终通过 HTTPS 提供会话；设置了 secure 的 Cookie 要求使用 HTTPS。
刷新令牌
对于长期有效的身份验证，可以将短期会话 Cookie 与较长期的刷新令牌结合使用。
快速检查
为什么要使用 httpOnly Cookie？
回顾
使用由服务器设置的 httpOnly、secure、sameSite Cookie，并在钩子中将其解析为用户，以实现适合 SSR 的身份验证。
用 AI 导师学习 HTML — 免费
在浏览器中编写并运行真实代码，获得全天候 AI 导师的即时帮助，并在网页或应用中继续学习。
- 课程
- 41
- 课程
- 163
常见问题解答
「基于 Cookie 的会话」课时是免费的吗？
是的 — 「基于 Cookie 的会话」的完整文本可在网页上免费阅读。要进行交互式练习（内置代码编辑器和全天候 AI 导师）并解锁 Sveltejs Academy 课程的其余内容，请升级到 CoddyKit PRO。 Sveltejs Academy 课程共包含 4 节课。
「基于 Cookie 的会话」这节课中我会学到什么？
使用安全的仅 HTTP Cookie 创建和管理服务器端会话。 你通过在浏览器中直接运行的动手代码来练习 Sveltejs Academy，全天候 AI 导师会在你学习这节课的过程中回答你的问题。
学习 Sveltejs Academy 需要有经验吗？
无需任何先前经验。CoddyKit 上的 Sveltejs Academy 课程适合初学者到高级学习者，你可以从这里开始或从头开始，按照自己的节奏学习。 这是第 1 节课，共 4 节。
「基于 Cookie 的会话」课时需要多长时间？
大多数 CoddyKit 课程大约需要 5–10 分钟。每节课都很精短且互动，所以你能稳步进步，并在网页和应用中从离开的地方继续。
我能在这节 Sveltejs Academy 课中编写并运行代码吗？
能。每节 Sveltejs Academy 课都包含内置代码编辑器，你可以在浏览器中直接编写并运行真实代码，并获得即时 AI 反馈 — 无需本地设置。