session、cookies与token
来源:互联网 发布:centos 不能显示中文 编辑:程序博客网 时间:2024/05/02 02:27
http协议本身是一种无状态的协议,而这就意味着如果用户向我们的应用提供了用户名和密码来进行用户认证,那么下一次请求时,用户还要再一次进行用户认证才行,既然HTTP协议是无状态的,使用session、cookie是为了解决这个问题的,token也是用来解决无状态的,只是他们解决无状态的方法是不同的。
1)session认证
因为根据http协议,我们并不能知道是哪个用户发出的请求,所以为了让我们的应用能识别是哪个用户发出的请求,我们只能在服务器存储一份用户登录的信息,这份登录信息会在响应时传递给浏览器,告诉其保存为cookie,以便下次请求时发送给我们的应用,这样我们的应用就能识别请求来自哪个用户了,这就是传统的基于session认证,这种情况下,session保存的是用户临时信息,它保存在服务端,cookie中保存的是sessionid,它保存在客户端。但是session有一个缺陷:如果web服务器做了负载均衡,那么下一个操作请求到了另一台服务器的时候session会丢失。
session的隐患:
(1)Session:每个用户经过我们的应用认证之后,我们的应用都要在服务端做一次记录,以方便用户下次请求的鉴别,通常而言 session都是保存在内存中,而随着认证用户的增多,服务端的开销会明显增大。(2) 扩展性: 用户认证之后,服务端做认证记录,如果认证的记录被保存在内存中的话,这意味着用户下次请求还必须要请求在这台服务器上,这样才能拿到授权的资源,这样在分布式的应用上,相应的限制了负载均衡器的能力。这也意味着限制了应用的扩展能力。(3)CSRF: 因为是基于cookie来进行用户识别的, cookie如果被截获,用户就会很容易受到跨站请求伪造的攻击。
2)cookie
用户访问时,服务器产生cookie,cookie的组成有:名称(key)、值(value)、有效域(domain)、路径(域的路径,一般设置为全局:"\")、失效时间、安全标志(指定后,cookie只有在使用SSL连接时才发送到服务器(https))。cookie生成后发送给浏览器,浏览器把cookie以kv形式保存到某个目录下的文本文件内,下一次请求同一网站时会把该cookie发送给服务器。由于cookie是存在客户端上的,所以浏览器加入了一些限制确保cookie不会被恶意使用,同时不会占据太多磁盘空间,所以每个域的cookie数量是有限的。
3)token
最简单的token组成:uid(用户唯一的身份标识)、time(当前时间的时间戳)、sign(签名,可以防止恶意第三方拼接token请求服务器)。还可以把不变的参数也放进token,避免多次查库,它不需要在服务端去保留用户的认证信息或者会话信息。这就意味着基于token认证机制的应用不需要去考虑用户在哪一台服务器登录了,这就为应用的扩展提供了便利。
流程上是这样的:
- 用户使用用户名密码来请求服务器
- 服务器进行验证用户的信息
- 服务器通过验证发送给用户一个token
- 客户端存储token,并在每次请求时附送上这个token值
- 服务端验证token值,并返回数据
- session、cookies与token
- Session与Cookies
- session与cookies
- session与cookies
- Session与Cookies
- Servlet-Session与Cookies
- session与cookies
- cookie、session与token
- session与cookies的区别
- cookies与session的区别
- session与cookies的区别
- Cookies与Session的总结
- session与cookies 面试笔记
- Persistent cookies和Session cookies的定义与区别
- cookies与session实际运用中的区别
- Cookies欺骗与session欺骗入侵
- cookies 与session的区别和详解
- Rails Cookies与Session操作汇总
- iOS class与string之间的互相转换
- 微服务中的模式和反模式
- 在自绘控件中创建多个CButton按钮时,如果设置按钮的消息(使用ON_COMMAND_RANGE消息)
- @Autowired与@Resource的区别
- 一种取byte[]数组内存地址的方式
- session、cookies与token
- Spark核心编程:高级编程之基于排序机制的wordcount程序
- 全面介绍Windows内存管理机制及C++内存分配实例(一):进程空间
- struts2(基础2)
- 持续交付的架构成熟度模型
- Linux下的raw Socket(原始套接字)编程
- 如何搭建一个Web项目
- Android接入支付宝实现支付功能
- 当路径有空的时候的处理方式