Token 的作用和原理
来源:互联网 发布:网络教育学历国家承认 编辑:程序博客网 时间:2024/05/11 16:15
Token,就是令牌,最大的特点就是随机性,不可预测。一般黑客或软件无法猜测出来。
那么,Token有什么作用?又是什么原理呢?
Token一般用在两个地方:
- 1)防止表单重复提交、
- 2)anti csrf攻击(跨站点请求伪造)。
两者在原理上都是通过session token来实现的。当客户端请求页面时,服务器会生成一个随机数Token,并且将Token放置到session当中,然后将Token发给客户端(一般通过构造hidden表单)。下次客户端提交请求时,Token会随着表单一起提交到服务器端。
然后,如果应用于“anti csrf攻击”,则服务器端会对Token值进行验证,判断是否和session中的Token值相等,若相等,则可以证明请求有效,不是伪造的。
不过,如果应用于“防止表单重复提交”,服务器端第一次验证相同过后,会将session中的Token值更新下,若用户重复提交,第二次的验证判断将失败,因为用户提交的表单中的Token没变,但服务器端session中Token已经改变了。
上面的session应用相对安全,但也叫繁琐,同时当多页面多请求时,必须采用多Token同时生成的方法,这样占用更多资源,执行效率会降低。因此,也可用cookie存储验证信息的方法来代替session Token。比如,应对“重复提交”时,当第一次提交后便把已经提交的信息写到cookie中,当第二次提交时,由于cookie已经有提交记录,因此第二次提交会失败。
不过,cookie存储有个致命弱点,如果cookie被劫持(xss攻击很容易得到用户cookie),那么又一次gameover。黑客将直接实现csrf攻击。
所以,安全和高效相对的。具体问题具体对待吧。
- Token 的作用和原理
- 应用Token的流程和作用
- struts2的token拦截器的原理及作用
- 关于token的作用
- Android Token的作用
- Struts2 的token原理
- Struts2 的token原理
- 路由器的原理和作用
- 适配器的作用和原理
- Hibernate的原理和作用
- JTAG的作用和原理
- CGI的作用和原理
- 微信测试号的URL和Token原理
- [置顶] Struts2 的token原理
- token的使用及原理
- token的使用及原理
- thinkphp框架中的token机制和原理
- 电报电话的原理和作用
- 超链接伪类(部分页面跳转)
- php开发群发邮件功能
- 函数调用过程(栈桢的形成与释放)
- Linux修改IP地址
- 国标上下联网关对接过程小结
- Token 的作用和原理
- SSL/TLS 卸载(offloading/termination) -- C语言 + openssl 实现
- 动态缩放img图片大小
- redis操作命令
- Spark数据倾斜
- c# 窗体放大窗体中的控件也随着窗体放大
- Python数据挖掘建模 chapter_2决策树
- Hdfs java API 使用注意
- javascript之类型