这是一个创建于 3024 天前的主题,其中的信息可能已经有所发展或是发生改变。
我一直理解的的 session 是这样的,
用 cookie 创建一个 id,然后服务器端也创建一个字典,用于关联这个 id 和其他要存储的内容。
无论如何浏览器本地都需要存一个 cookie 用于标识自己(不是再说那种写在 URL 中的),那么我们可以直接把这个 cookie 给清空,以后访问就相当于未访问状态。
我想试试这样是不是可以,然后发现, document. cookie 里面没动西。。。但是刷新页面的时候请求头里是有 cookie 。
我用的是 Flask,默认配置。有人知道咋回事吗?
1 条回复 • 2016-06-28 15:08:11 +08:00
|
|
1
yeyeye 2016-06-28 15:08:11 +08:00 1
你听说过 XSS 吗? 就是坏用户通过 JS 获取这个 sessionid 。然后偷走它!
但是浏览器不傻啊 马上制定了新的标准,也就是 Cookie 的 Httponly 属性, JS 读不到,但是服务器可以读写。
现在各种后端语言都会自带这个属性,确保 sessionid 的安全性。所以一般都是获取不到,可笑到了 2016 年还有 XSS 教程说通过 XSS 获取 sessionid 进行攻击,能获取到么?当然是获取不到的。
|