这是一个创建于 1804 天前的主题，其中的信息可能已经有所发展或是发生改变。
如题，session，是指浏览器里的 cookie 里的那个 JSESSIONID 么？服务端根据 cookie 里的这个来做客户端状态控制？能凭那个 JSESSIONID 就能劫持攻击吗？如果是这样的话,那得自己用缓存框架，根据安全需要来定制用户状态控制了？或者用 token ？
10 条回复 • 2019-12-26 11:26:16 +08:00
 |
1
joooooker21 2019-12-15 22:40:11 +08:00
还要考虑集群环境下 session 如果共享的问题
|
|
2
joooooker21 2019-12-15 22:40:22 +08:00
如果 -> 如何
|
 |
3
tctc4869 OP @joooooker21 目前硬件环境还只是单个服务器，用 session，只是简单方便。如果是为了集群分布式，那是以后了，我现在比较关心的是 session 的安全问题
|
 |
4
jugelizi 2019-12-15 22:45:18 +08:00
xss 和 csrf 了解下 如何防御
|
 |
5
chendy 2019-12-16 07:54:43 +08:00
浏览器环境还是 cookie-session + csrf token
|
 |
6
dilu 2019-12-16 08:44:47 +08:00 via Android
其实你这是逻辑问题，不是技术问题。
假设你用了 token，我作为一个第三者，都能拿到用户 session 了为什么不能拿到 token ？ 要在逻辑上去处理，例如充值提现这种敏感操作需要短信验证等等。 |
 |
7
jorneyr 2019-12-16 08:50:15 +08:00
源头泄漏没有什么好办法能够阻止了，一般的被劫持指的是中间环节。
|
 |
8
coang 2019-12-16 10:48:09 +08:00
现在 web 前后端分离 没有 session 一说 一开始就使用自己模拟 session 往后扩展可以少一点坑
|
Select Language