對Session和Cookie的區分與理解

來源:互聯網
上載者:User
cookie|session 對Session和Cookie的區分與理解
先說session

對SESSION的爭論好象一直沒有停止過,不過么麽能理解SESSION的人應該佔90以上。但還是講講,別嫌老~

有一些人贊成用SESSION,有一些人不贊成。但這個問題到底要怎麼說。不妨聽聽我的看法,如果有錯誤請不要朝丟東西,金條和硬幣除外。

有些人應該知道我是做江湖程式的,而江湖程式做看中的就是效率,但這裡不談設計,而從一些比較實際的角度看SESSION。

首先要先說SESSION是幹什麼的,SESSION是可以儲存針對與某一個使用者的IE以及通過其當前視窗開啟的任何視窗具有針對性的使用者資訊儲存機制。為什麼要這樣說。看下邊先研究SESSION是如何啟動的,當開啟IE以後瀏覽網站後會發出一個指令請求SESSIONID以及對各個類型資料的下載許可,如圖片,聲音以及FLASH。
資料實際傳輸內容:IE到伺服器
GET / HTTP/1.1
Accept: image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, */*
Accept-Language0: zh-cn
Accept-Encoding: gzip, deflate
User-Agent: Mozilla/4.0 (compatible; MSIE 5.01; Windows NT 5.0)
Host: www.jh521.com
Connection: Keep-Alive
伺服器會返回一個沒有被使用的SESSIONID讓IE使用,當時IE就對返回SESSIONID做儲存

並同時返回相關頁面的下載資料,如下:伺服器到IE
HTTP/1.1 200 OK
Server: Microsoft-IIS/5.0
Date: Sun, 30 Nov 2003 16:41:51 GMT
Content-Length: 21174..Content-Type: text/html
Set-Cookie: ASPSESSIONIDCACBBBRT=IBOMFONAOJFEEBHBPIENJFFC; path=/
Cache-control: private
然後就是頁面HTML代碼此時這個IE程式(不是客戶機)的SESSIONID就為IBOMFONAOJFEEBHBPIENJFFC而當IE在訪問任何這個網站的ASP程式的時候,就會把IBOMFONAOJFEEBHBPIENJFFC發送給伺服器,伺服器就會知道IBOMFONAOJFEEBHBPIENJFFC是表示你而在伺服器上設定SESSION("name")="name"完全可以看成是SESSION("IBOMFONAOJFEEBHBPIENJFFC")("name")="name"
或者
SESSION(SESSIONID)("name")="name"
這樣,SESSION就區分開使用者了。
而當伺服器反饋這個ID的時候會看這個ID有沒有被使用。如果有在換一個
反正不會讓你重複,如果想類比某人的SESSION的ID來進行欺騙是可以的。不過要擷取到對方IE傳輸訊號,並且在保證當時這個SESSIONID沒有被取消的情況下才可能實施。

不過要是我有那時間直接通過POST訊號找他NAME和PASS了。我可不費這個勁,想必一些人明白了了SESSIONID到底是如何工作的,那麼就在看看COOKIE,有人說SESSIONID就是COOKIE,按照技術上來講他們不屬於同類,但是屬於一種工作模式,使用者和伺服器傳輸私人資料.當我設定COOKIE的時候,伺服器會反饋給IE一個指令。IE通過這個網路指令產生COOKIE並存放,在特定的時候會取得這個這個資訊如在訪問這個網站並且COOKID有效時候。

那麼為什麼要用COOKIE而不用SESSION呢
看下區別

有效時間以及儲存方式 傳輸內容
COOKIE 可設定並在本地保留 明碼資訊

SESSION 在IE不關閉並伺服器不逾時 只有SESSIONID

當如果想讓使用者下次登入網站不需要輸入使用者名稱或者密碼的時候就只能用COOKIE,

因為他可以保留相當長的時間(在COOKIE記錄被刪除或者失效日期之前)

而SESSION就不可以,他不會保留太長時間,而且IE在關閉後就自動清除了SESSIONID記錄

在下次登入的時候會請求新的SESSIONID

而伺服器想通過使用者個人變數校正使用者的狀態的時候,就不能用COOKIE

如果用設定使用者權限是USER。而IE訪問的時候就把USER的明碼傳輸到伺服器。

那麼如果我通過一定手段,比如直接修改COOKIE記錄,把USER修改成ADMIN呢~~

就麻煩了。

但儲存使用者名稱和密碼或者網站的色彩配置這樣的資訊,用COOKIE是最好的


好,有點累了,在說說這個東西
Request.ServerVariables("HTTP_REFERER")

我想有一些人通過這個Request.ServerVariables("HTTP_REFERER")
來進行一些關鍵性限制,特別是對付遠程提交以及非法侵入。
那麼我就要提醒下伺服器取得的HTTP_REFERER資訊完全是IE傳輸給伺服器的,可以類比
而且難度不大,用不到半個小時就可以用VB做出一個針對HTTP_REFERER入侵程式。
(可惜我原先那他沒幹正經事情,做WEB遊戲掛機程式來的)




相關文章

Beyond APAC's No.1 Cloud

19.6% IaaS Market Share in Asia Pacific - Gartner IT Service report, 2018

Learn more >

Apsara Conference 2019

The Rise of Data Intelligence, September 25th - 27th, Hangzhou, China

Learn more >

Alibaba Cloud Free Trial

Learn and experience the power of Alibaba Cloud with a free trial worth $300-1200 USD

Learn more >

聯繫我們

該頁面正文內容均來源於網絡整理,並不代表阿里雲官方的觀點,該頁面所提到的產品和服務也與阿里云無關,如果該頁面內容對您造成了困擾,歡迎寫郵件給我們,收到郵件我們將在5個工作日內處理。

如果您發現本社區中有涉嫌抄襲的內容,歡迎發送郵件至: info-contact@alibabacloud.com 進行舉報並提供相關證據,工作人員會在 5 個工作天內聯絡您,一經查實,本站將立刻刪除涉嫌侵權內容。