这是一个创建于 2134 天前的主题，其中的信息可能已经有所发展或是发生改变。
如题，session，是指浏览器里的 cookie 里的那个 JSESSIONID 么？服务端根据 cookie 里的这个来做客户端状态控制？能凭那个 JSESSIONID 就能劫持攻击吗？如果是这样的话,那得自己用缓存框架，根据安全需要来定制用户状态控制了？或者用 token ？
10 条回复 2019-12-26 11:26:16 +08:00
 | 1 joooooker21 2019-12-15 22:40:11 +08:00 还要考虑集群环境下 session 如果共享的问题 |
| 2 joooooker21 2019-12-15 22:40:22 +08:00 如果 -> 如何 |
 | 3 tctc4869 OP @joooooker21 目前硬件环境还只是单个服务器，用 session，只是简单方便。如果是为了集群分布式，那是以后了，我现在比较关心的是 session 的安全问题 |
 | 4 jugelizi 2019-12-15 22:45:18 +08:00 xss 和 csrf 了解下 如何防御 |
 | 5 chendy 2019-12-16 07:54:43 +08:00 浏览器环境还是 cookie-session + csrf token |
 | 6 dilu 2019-12-16 08:44:47 +08:00 via Android 其实你这是逻辑问题，不是技术问题。 假设你用了 token，我作为一个第三者，都能拿到用户 session 了为什么不能拿到 token ？ 要在逻辑上去处理，例如充值提现这种敏感操作需要短信验证等等。 |
 | 7 jorneyr 2019-12-16 08:50:15 +08:00 源头泄漏没有什么好办法能够阻止了，一般的被劫持指的是中间环节。 |
 | 8 coang 2019-12-16 10:48:09 +08:00 现在 web 前后端分离 没有 session 一说 一开始就使用自己模拟 session 往后扩展可以少一点坑 |
Select Language