如题，session，是指浏览器里的 cookie 里的那个 JSESSIONID 么？服务端根据 cookie 里的这个来做客户端状态控制？能凭那个 JSESSIONID 就能劫持攻击吗？如果是这样的话,那得自己用缓存框架，根据安全需要来定制用户状态控制了？或者用 token ？
This topic created in 2516 days ago, the information mentioned may be changed or developed.
10 replies • 2019-12-26 11:26:16 +08:00
 |
joooooker21Dec 15, 2019
1
还要考虑集群环境下 session 如果共享的问题
|
|
joooooker21Dec 15, 2019
2
如果 -> 如何
|
 |
3
@joooooker21 目前硬件环境还只是单个服务器，用 session，只是简单方便。如果是为了集群分布式，那是以后了，我现在比较关心的是 session 的安全问题
|
 |
jugeliziDec 15, 2019
4
xss 和 csrf 了解下 如何防御
|
 |
chendyDec 16, 2019
5
浏览器环境还是 cookie-session + csrf token
|
 |
diluDec 16, 2019 via Android
6
其实你这是逻辑问题，不是技术问题。
假设你用了 token，我作为一个第三者，都能拿到用户 session 了为什么不能拿到 token ？ 要在逻辑上去处理，例如充值提现这种敏感操作需要短信验证等等。 |
 |
jorneyrDec 16, 2019
7
源头泄漏没有什么好办法能够阻止了，一般的被劫持指的是中间环节。
|
 |
coangDec 16, 2019
8
现在 web 前后端分离 没有 session 一说 一开始就使用自己模拟 session 往后扩展可以少一点坑
|
Select Language