关于session和request及登陆信息的问题~

[shadowlin]

比如有一个网站,登陆以后可以进行一系列操作.
但是验证密码身份的操作只有一上来进行一次,后面的都不再进行..那么要保证后续操作的安全性的话怎么做?把用户名和密码放在session里么?
有没有类似的例子?

[cangbai217]

登陆成功以后把登陆ID存到session,密码就不用存了

[xiaocainiao0703]

登陆成功以后把登陆ID存到session
因为ID涉及到用户的角色问题,
当有些模块操作需要权限的时候,
就可以先把用户的ID从session中得到,
然后得到对应的权限,
通过权限判断他能否执行此次操作!

[老紫竹]

把用户名和密码放在session里么?

如果你只需要判断当前用户是否登陆，你只需要在session里面把用户名保存就可以了

session.setAttribute("LOGIN_USERNAME",username);

在页面进行如下判断用户是否登陆

String usernameLogin = (String)session.getAttriute("LOGIN_USERNAME");
if(null == usernameLogin){
  // 没有登陆
  return;
}

// 已经登陆，用户的其他信息可以通过username查找到

[qingyuan18]

首先需要明确你是要保证一站式登陆还是保证用户登陆后的信息不丢失,这是两个问题

[shadowlin]

恩..我现在的做法是在确认用户名密码合法以后,把用户名和一些权限信息放在session里..
再问一下关于session的开销问题,session的开销和存放在里面的数据量关系大么?感觉似乎多个字段少个字段也差不多的样子啊...

[kekeemx]

session还是比较耗内存的。 特别是访问量一大.就会吃掉大量内存.
能少放一点就少放一点.

[shadowlin]

to kekeemx:
消耗内存是因为session里的数据呢?还是session本身就很消耗内存?是要减少session还是要减少session里的数据?

[wowoer]

是session消耗内存。一般session里保存的是User的实例，这样想得到用户的什么信息就可以得到什么信息。

[shadowlin]

既然是session费资源的话,那就把信息多存点在一个session里比较合适了.~

[jwfdpfangdongping]

直接存到session中!

[ee4456]

每个客户打开浏览器访问你的服务器都会有个SESSION ID，他们是不一样。。

[shadowlin]

我发现我基础概念很差....问一下,是不是一个浏览器对应一个session实例啊?