为什么RESTful API会通过API响应发送cookie？

Question

前几天，我向客户端发送请求后，在客户端收到一个奇怪的警告：

2018-01-12 02:32:50,162 WARN o.a.h.c.p.ResponseProcessCookies:130 - Invalid cookie header: "set-cookie: guest_id=v1%3A151572431977858379; Expires=Sun, 12 Jan 2020 02:31:59 UTC; Path=/; Domain=.twitter.com". Invalid 'expires' attribute: Sun, 12 Jan 2020 02:31:59 UTC

格式是正确的，因此最后是http客户端配置错误，但这使我想到了一个问题：为什么RESTful API为什么会发送cookie？

这些似乎是twitter的跟踪cookie，那么它们在RESTful上下文中有什么用？如果通过XMLHttpRequest（而不是服务器端）调用，twitter是否要设置cookie，还是误将其应用于API端点的通用“设置cookie”过滤器？

问题不仅仅与Twitter有关，还与RESTful API无关。

以下是原始回复的摘录：

Server:
    tsa_b
pragma:
    no-cache
cache-control:
    no-cache, no-store, must-revalidate, pre-check=0, post-check=0
x-connection-hash:
    24fd4a4b3d61e33b6b94080b710a1e61
x-xss-protection:
    1; mode=block; report=https://twitter.com/i/xss_report
x-content-type-options:
    nosniff
x-rate-limit-limit:
    900
expires:
    Tue, 31 Mar 1981 05:00:00 GMT
Date:
    Fri, 12 Jan 2018 17:45:03 GMT
set-cookie:
    personalization_id="v1_/3EYpbQnCe+vnjhnBUew=="; Expires=Sun, 12 Jan 2020 17:45:03 UTC; Path=/; Domain=.twitter.com
set-cookie:
    lang=en; Path=/
set-cookie:
    guest_id=v1%3A1515770330954116; Expires=Sun, 12 Jan 2020 17:45:03 UTC; Path=/; Domain=.twitter.com
x-rate-limit-reset:
    1515780003
content-disposition:
    attachment; filename=json.json

Answer 1

RESTful API可以像提供HTML的常规Web应用程序一样发送cookie。Cookies本身并不违反REST策略，这就是它们的使用方式。例如，服务器可能希望其客户端记住某个状态，以便在以后请求另一个资源时可以提供此状态。

但是，如果Cookie用于维护服务器上的客户端会话，则REST API不应使用它们。 Session Token。这将违反REST端点的无状态性，因为要求服务器知道每个客户端的状态才能向其提供请求的资源。

现在，您提到您的特定REST端点设置了一个 tracking cookie。这可能是完全有效的，因为可以将跟踪ID视为应保留的客户端属性。服务器可能不需要此cookie才能为其提供请求的资源。

这也可能与StackExchange上的以下问题有关：是否应在RESTful API中使用Cookie？