为何有些网站，禁用cookie就无法登录呢？另外禁用cookie后，msn也无法修改密码？我不知这是为什么？难道cookie与安全相关吗？

ykqlyy 2010-02-20 08:59:09

为何有些网站，禁用cookie就无法登录呢？另外禁用cookie后，msn也无法修改密码？
我不知这是为什么？难道cookie与安全相关吗？
我一直认为cookie就是方便用户保存一些个人信息的。但是我感觉并不是这样，
好象与安全相关。
比如支付宝网站，禁用cookie就无法登录，比如msn网站，禁用cookie就无法修改密码。
这是为什么呢？

cookie真的与安全有这么大的关系吗？

...全文

374 7 打赏收藏转发到动态举报

写回复

用AI写文章

7 条回复

切换为时间正序

请发表友善的回复…

发表回复

humman7 2010-02-20

打赏
举报

cookie是有安全隐患了, 在浏览器里存着,容易被盗用

老紫竹 2010-02-20

打赏
举报

cookie 的一个重要用途，就是维持客户端和服务器的一个会话 session
最常见的，就是你登陆之后，会记录一个SESSIONID
在 JAVA里面最常见的是 J_SESSIONID
这个参数在你登陆后，会返回并保存到cookie里面
你的浏览器再下次发出请求是，会把这个ID 一起发送到服务器，服务器根据这个ID,来判断用户的当前状态，是已经登陆，还是没有登录等。

所以，如果你禁用cookie,则这个维持会话的标识就丢失了。

另外，一些网站为了兼容性，会使用url的方法进行参数传递，也就是在url里面有一大长串的字符，类似
jsessonid=ABCDFDSFDSDDADASDADFD121fdFFAF

这个其实就是写入到cookie里面的，不过换了一的地方而已。

ykqlyy 2010-02-20

打赏
举报

自已顶一下。

ykqlyy 2010-02-20

打赏
举报

其实网银是要通过证书保证安全的呀。

iisbsd 2010-02-20

打赏
举报

引用 5 楼 ykqlyy 的回复:

引用 4 楼 believefym 的回复:
基于1、2楼的解释，给个安全问题的例子

用户A登录网银，
用户B在A的session有效期内盗取了sessionid
用户B用此sessionid登录同一个网银
网银系统误认为B用户就是A用户，并且已经登录
A损失惨重。。。
是个好例子，这种情况，一般的网站是如何处理的呢？
是不是根本无法处理呀？

sessionid做成和IP地址有关可以起一定的保护作用，如果是网银一类有客户端（插件）的系统，可以针对每台机器生成不同的唯一标识，也放在session里面验证。

ykqlyy 2010-02-20