推荐学习书目 Learn Python the Hard Way Python Sites PyPI - Python Package Index http://diveintopython.org/toc/index.html Pocoo 值得关注的项目 PyPy Celery Jinja2 Read the Docs gevent pyenv virtualenv Stackless Python Beautiful Soup 结巴中文分词 Green Unicorn Sentry Shovel Pyflakes pytest Python 编程 pep8 Checker Styles PEP 8 Google Python Style Guide Code Style from The Hitchhiker's Guide
这是一个创建于 2938 天前的主题，其中的信息可能已经有所发展或是发生改变。
session 是存储在服务器所以比 cookie 安全，但是为什么不能通过获取存储在客户端的 session_id 然后像服务器发起请求呢？
9 条回复 2017-10-03 15:45:20 +08:00
 | 1 disk 2017-10-02 18:58:04 +08:00 via Android cookie 也是保存 session id 的一种方式。我想你可能有些地方没搞明白。。。 |
 | 2 Sornets 2017-10-02 19:38:18 +08:00 能。 |
 | 3 lululau 2017-10-02 19:59:32 +08:00 1. session 数据不只可以存储在服务器端，也可以存储在客户端，比如 Rails 默认的 Session 存储方案就是存在一个加密的 Cookie 里的 2. 可以 |
 | 4 guoyang 2017-10-02 21:30:51 +08:00  1 由于 http 是无状态的，所以 session 的 ID 可以存在 cookie 中，也可以存在 LocalStorage 活着 SessionStorage，甚至是页面的隐藏字段。所谓的不安全分为两种，一是逻辑不安全，如果我们拿 cookie 中的数据直接作为我们逻辑的一部分，这部分数据是极容易被篡改的，所以我们通过 SessonId，拿服务端的数据作为逻辑的数据；二是 cookie 容易被 XSS ／ CSRF 攻击，虽然有同源策略的保护，现在较流行的方式是用 Token （ JWT ）来取代 cookie 的设计。 |
 | 5 wentaoliu 2017-10-02 23:59:01 +08:00 @guoyang 如果浏览器中使用 jwt 仍然需要将 token 放到 cookie 或者 localstorage 中，还是可能会被 XSS 或 CSRF |
 | 6 wwhc 2017-10-03 01:44:25 +08:00 只用 cookie 就够了， 有 cookie 还用 session 是多此一举 |
| 7 guoyang 2017-10-03 07:35:51 +08:00 via iPhone @wentaoliu 所以 token 的设计中可以加 ip 加 useragent 或者尽量能够标示出 client 端的东西，跨站攻击本来就是泄漏，这个只能从源头控制。防护可以分两种，一是防用户本身，Xss 或者中间人攻击防的是第三者，token 防用户自身能够做的很好。token 本身的出发点并不是解决所有的安全问题 |
 | 8 tuzhenyu 2017-10-03 10:09:07 +08:00 cookie 中的 sessionId 过期机制就是用来减弱 sessionId 被盗带来的影响 |
 | 9 opengps 2017-10-03 15:45:20 +08:00 cookie 中的 sessionId 默认是禁止读取的 |
Select Language