呵呵，这是早期的不安全的session做法了。。。。。。。。。 <- 中国开发网

CNDEV.ORG

当前在线

论坛

CBD
- 程序员情感CBD
- 程序员见面交流会
CBD开发区
- Java/J2ME
- .NET/C#
- 数据库
- Delphi/BCB
- Visual C
个人
- 袁国术的个人网站
- 翟旭东网!!!
其它
情感
游戏
- CNDEV-CS/WOW
- 浩宇长空
生活
论坛系统

中国开发网: 论坛: 程序员情感CBD: 贴子 818275

haitao：

呵呵，这是早期的不安全的session做法了。。。。。。。。。

[阅读: 470] 2010-05-26 04:32:09

想想它有什么危险
也就是为什么要以随机session 取代帐号+密码

帐号+密码其实也是一种session，只是不安全的session而已

相关信息:

海豹人请进，关于rest的 (135字) (bmkun [822] 2010-05-25 17:13)
- 是的，可以用单点登录+证书的方式来实现访问控制 (空) (sealw [372] 2010-05-25 17:51)
  - 有没有简单一点的方法啊 (空) (bmkun [377] 2010-05-26 09:28)
    - 对于会做的人，这也是不复杂的。要控制，就会有代价。如果觉得值，就去付出。 (空) (sealw [420] 2010-05-26 09:59)
      - 其实有个简单的方法，就是启用http认证访问，但是感觉怪怪的，总觉得和以前不一样 (空) (bmkun [390] 2010-05-26 10:28)
        也可以。习惯了就好了。 (空) (sealw [385] 2010-05-26 12:26)
- 不管怎么做，session是肯定要的吧 (78字) (haitao [422] 2010-05-26 09:33)
  - 早期的Web，没有cookie，也没有session (空) (sealw [315] 2010-05-26 10:05)
    - http是非连接的，前后2个请求是不是同一个人，肯定需要验证的——这个验证的信息，统称就是session (82字) (haitao [463] 2010-05-26 10:51)
    - 早期的 web 没有 app (空) (holly [346] 2010-05-26 11:10)
      - 论坛就是一个app了，张三登录的，不能以李四的名义发帖；棋室也是一个app了，在room#1下的棋步，不能显示到room#2去 (空) (haitao [348] 2010-05-26 11:13)
  - http头里面可以带验证信息吧 (空) (leejd [372] 2010-05-26 10:08)
    - cookie就是在头里啊 (38字) (haitao [370] 2010-05-26 10:44)
      - cookie跟http验证是两回事吧 (22字) (leejd [392] 2010-05-26 10:49)
        验证前后2个请求是不是来自同一个人。。。。。。。。 (15字) (haitao [412] 2010-05-26 10:53)
    - 看看这篇文章吧，跟我的想法比较接近，看来是要回归http本质的时候了 (222字) (bmkun [585] 2010-05-26 10:54)
      - 本质就是一个非连接、无状态的协议，怎么实现依赖连接、状态的应用 (40字) (haitao [426] 2010-05-26 11:08)
      - 不见得, 这也不过是一家之言而已. 使用 session 也还是有其价值的. (空) (holly [319] 2010-05-26 11:08)
        只是大师的话让人陷入矛盾，mmd,一句服务端无状态，搞出那么多麻烦，session当然有价值了，一直想尽量靠拢RESTful,否则直接用session在web应用中很简单，但是失去…… (101字) (bmkun [1083] 2010-05-26 11:16)
        其实, 适合的应用场景不同而已 (37字) (holly [430] 2010-05-26 11:21)
        做云存储的API最合适了 (空) (leejd [356] 2010-05-26 11:23)
        云存储也要区分你还是我，否则我能取你的数据，还行吗！ (63字) (haitao [459] 2010-05-26 11:26)
        http验证足够了 (9字) (leejd [406] 2010-05-26 12:07)
        session的传递，用户根本就不知道，不用关心的。。。。。。。。。 (空) (haitao [345] 2010-05-26 12:18)
        人家可以每次都传用户名和密码过去，不需要session (空) (leejd [359] 2010-05-26 12:26)
        呵呵，这是早期的不安全的session做法了。。。。。。。。。 (76字) (haitao [469] 2010-05-26 12:32)
        对，让大师理论见鬼去吧，需要妥协，很多目前主流的技术都是妥协的结果 (空) (bmkun [431] 2010-05-26 11:28)
        不过session的引入确实要带来不少麻烦，真不知道别的系统将来访问本系统URI的时候会出什么问题 (42字) (bmkun [580] 2010-05-26 11:25)
        不要硬套，要看需要 (209字) (sealw [495] 2010-05-26 13:24)
  - 当然可以没有 session (空) (holly [372] 2010-05-26 11:10)
    - 没有session的是新闻、公告板，单向、公开的，谁都可以看的。。。。。。。。 (37字) (haitao [502] 2010-05-26 13:29)

欢迎光临本社区，您还没有登录，不能发贴子。请在这里登录

页面内容处理时间: 0.015 - 512336