81,092
社区成员
发帖
与我相关
我的任务
分享web项目权限控制放在session里面会有什么隐患吗
在做一个web项目，请教：权限控制放在session里面会有什么隐患吗？
按照session的生命周期，这样做不对，请教各位具体的
按照session的生命周期，这样做不对，请教各位具体的
...全文
请发表友善的回复…
发表回复
北飞的企鹅 2017-08-07
- 打赏
- 举报
威5555555555555解开者 2017-08-04
- 打赏
- 举报
安全性方面问题不大。需要防范会话重放：客户端用一个Cookie和服务端的Session对象绑定，如果客户端保留了这个Cookie并且服务端没把Session置为invalidate，那么客户端随时都可以访问这个Session，并获取相应的权限。
更需要考虑的是，Session是放在内存里的，当在线用户达到一定数量时内存可能不够用。
走在四季 2017-08-04
- 打赏
- 举报
1楼主攻，2楼辅助，其他楼围观助威。
evanweng 2017-08-04
- 打赏
- 举报
一楼正解，二楼辅助解，三楼总结不错！
god de gold 2017-08-04
- 打赏
- 举报
1楼正解，二楼辅助解！
minemine0418 2017-08-04
- 打赏
- 举报
结合楼上所说，建议用redis存放用户登录信息，性能速度比较好，可以设置过期时间，并且多个应用共享数据
