基础网络详解4--HTTP Cookie&&Session 思考-Toy模板网

这篇具有很好参考价值的文章主要介绍了基础网络详解4--HTTP Cookie&&Session 思考。希望对大家有所帮助。如果存在错误或未考虑完全的地方，请大家不吝赐教，您也可以点击"举报违法"按钮提交疑问。

一、cookie技术思考

一台多用户浏览器发起了三笔请求，将某款产品放入购物车中，A一次，选择了篮球；B两次，第一次选了足球，第二次选了钢笔。如何确认选择篮球、足球、钢笔的请求属于谁呢？如果不确认属于谁，请求将没有意义。
如果每次请求都带一个用户标识，比如用户名，这样服务器就会知道该请求属于谁，也会知道请求的商品属于谁，也就知道了该如何记录。于是cookie诞生了，使得无状态的http服务，变成了有状态的http服务。

1、加入购物车需要验证密码或者登陆状态吗？

我们先来看不需要的情况，因为用户名是很容易获取到的，如果别人获取了你的用户名，他们也可以在你的购物车中添加东西，这样来看是很不安全的。所以验证密码或者验证登陆状态时有必要的。
需要验证密码。如果采用验证密码的方案，就需要在cookie中携带密码，这是很不安全的，并且在每次请求的时候都要验证一下密码是否正确，这样会降低处理效率。那选另一种方案验证登陆状态呢？

2、如何确保登陆状态的唯一性。

当客户登陆的时候我们可以在服务器的内存或者文件中存储客户登陆的状态，比如用户名和过期时间等，但是只存储这些同样是不安全的，因为其他用户会很轻松的获取你的用户（因为用户是有规律的），所以就需要确保登陆状态的唯一性，于是seesion诞生了。

二、session技术思考

当客户登陆的时候，服务端会生成一个session，该session有一个全局唯一的sessionid,并且该sessionid会存储客户的相关信息，登陆状态，以及过期时间，并会将sessionid设置在cookie中，并返回给客户端。这样客户每次发起请求的时候都会带着该sessionid，该sessionid可以使http服务变成有状态的，并且保证了唯一性和确保登陆状态，sessionid很难被其他用户获取。
从上述来看session机制是依赖cookie的，如果禁用cookie，session的作用就失去了大半，虽然可以把sessionid放在请求的头部，但是这样会不方便。
java服务器中的sessionid JSESSIONID=xxxxxxxxxxxx
PHP服务器中的PHPSESSIONID=xxxxxxxxxxxxxxxxxxxxxx