像淘宝、weibo这种网站登录功能的设计

[zioc2014]

只做过纯session 登录 即用户登录后 加一个session 看上去比较安全 但貌似好容易掉 而且貌似耗资源

也做过纯cookie登录 感觉很不安全 一个浏览器插件就搞定了


想问问诸神，像淘宝、weibo甚至是csdn这些网站的登录是怎么设计的？麻烦说下思路撒

[threenewbee]

必须在服务器保存token，至于是不是使用asp.net内置的session，还是做分布式缓存/负载均衡，还是做什么，那是后端优化的事情。

[华丽丽的小低调]

session cookie 都是可以的

[我是小李]

设计对应需求，一个简单的网站不需要太安全，因为要保证安全是要付出其它代价的。一个session耗费的资源是可以忽略不计的。至少它要比cookie安全多了。大网站或是银行用插件是保证安全，你要是一个小网站还要让用户装个插件的话会引起反感的。

[娃都会打酱油了]

他们的登录设计是SSO,在服务器保存令牌以及一些登陆时可以获取到的电脑信息，至于各个站点，用的还是Session判断，就算站点Session挂了，通过SSO重新导向下就又登陆了

[夜色镇歌]

[zioc2014]

引用 3 楼 starfd 的回复:

他们的登录设计是SSO,在服务器保存令牌以及一些登陆时可以获取到的电脑信息，至于各个站点，用的还是Session判断，就算站点Session挂了，通过SSO重新导向下就又登陆了

那为什么我离开页面以后 立即回去 登录的身份还在？我自己做的网站这种情况就又要登录了，是不是设置的问题？

[qvbzyx]

不同的网站的设计方式肯定是不同的。SSO实现的办法也很多。淘宝什么的没怎么研究过。就像腾讯的好像就是根据IP和密钥来识别的，任何一处变了就的重新登录、当然这是个人表面看法，实际的也许不是这样

[娃都会打酱油了]

引用 5 楼 zioc2014 的回复:

引用 3 楼 starfd 的回复:他们的登录设计是SSO,在服务器保存令牌以及一些登陆时可以获取到的电脑信息，至于各个站点，用的还是Session判断，就算站点Session挂了，通过SSO重新导向下就又登陆了 那为什么我离开页面以后 立即回去 登录的身份还在？我自己做的网站这种情况就又要登录了，是不是设置的问题？

这个你去baidu下sso概念，sso得基础是有一个主站点，该主站点维护所有站点的登录关系，只要在主站点登陆过后，其它站点就不用再登陆（一次登陆，处处登陆） 所以要实现SSO，起码要有一个SSO服务站点和一个应用的子站点 你又没实现SSO,当然Session过期了就要求重新登陆了啊

[小西是二愣子]

如果看重安全性，使用session+持久化 保证安全和不丢失

[happytonice]

要综合性能、安全性考虑的