关于session的一点小问题

zhiweidianhua 2010-12-09 04:21:51

浏览器每次访问已经访问过的了页面的时候，http头会把原来网页设置的cookie里面存的信息加载进去发给服务器。
倘若浏览器的cookie信息没有过期，而且在服务器这端session也没有过期，那么被加载进去的cookie中存在sessionID，那验证不就是通过了么？
我想知道PHP里面的session_start()是如何处理以Ctrl+N或Shit+点击链接方式打开的IE窗口与双击桌面上的ie图标打开的IE窗口的判定的。就是他怎么知道那个页面的打开是哪种方式！

...全文

46 4 打赏收藏转发到动态举报

写回复

用AI写文章

4 条回复

切换为时间正序

请发表友善的回复…

发表回复

zhiweidianhua 2010-12-09

打赏
举报

那我又想用COOKIE，又想服务器能分辨出那些是通过点击链接打开的页面，哪些是通过双击桌面IE图标然后粘贴网页网址的页面。
服务器这边能做么？

在-云端 2010-12-09

打赏
举报

只要你开启了session.use_cookies = 1
然后你的cookie未过期,并且服务器端的sessionid也未过期,则你再打开同样的地址,还是登陆状态
可以用于伪造session

zhiweidianhua 2010-12-09

打赏
举报

因为我想自己写一整个session的处理过程。

以前了解的session就是会话的，而一个会话到离开这个网站就会结束了！

如果再通过双击桌面的IE图标，然后复制曾经访问的该网站的链接，那么服务器这边应该会分配新的会话ID，因为这个一个新的会话。

我现在的问题是，自己写的session处理过程是通过guid分配一个新访问的用户一个sessionID,并将其存在cookie里面。当这个用户把浏览器关闭了，然后再通过双击桌面的IE图标的方式，复制该网站已经登陆过的页面连接，我在服务器这边的验证就会通过。因为从cookie中提取出来的sessionID一直存在。

沪php攻城师 2010-12-09

打赏
举报

浏览器每次访问已经访问过的了页面的时候，http头会把原来网页设置的cookie里面存的信息加载进去发给服务器。
倘若浏览器的cookie信息没有过期，而且在服务器这端session也没有过期，那么被加载进去的cookie中存在sessionID，那验证不就是通过了么？

这个应该没问题的吧，如果浏览器不关闭的情况下你还要强制SESSION失效，或者说强制验证，那么你不是每打开一个页面都要登陆一次？

spring+struts+mybatis+security+memcached+GBAC权限架构开源项目, 懂的自己下载看,不懂的...补充一点,因为security3对于分布式应用系统有限制,因为没有提供session共享的功能,所以建议大家自己扩展下,这里我就不累赘说

有个疑问，据说是session身份验证比cookie身份验证更安全，因为session安全验证是存储在服务器，但是服务器仍然是需要去读取存储用户浏览器中的session id，然后依照这个session id去寻找session，这和读取cookie比...

网页上的session只能存储100kb的数据转换成中文就是50来个，所以网页上session能只存小一点的数据那就存小一点的，不然数据缺失，我前几天在写导航栏的时候就遇到了这个问题，在左边页面上查询不出来（其实是我没...

解决集群产生的session共享问题

在其他地方看到了这样一种处理方式 @self.app.before_request ... g.session = self.session_factory() @self.app.after_request def close_session(response): g.session.close() return response 复制代...