Cookie和Session在Node.JS中的实践(二)

发布日期:2019-04-29

Cookie和Session在Node.JS中的实践(二)

cookie篇在作者的上一篇文章Cookie和Session在Node.JS中的实践(一)已经是写得算是比较详细了,有兴趣可以翻看,这篇是session篇,重点在讨论session的特性、概念,以及session和cookie的区别和联系。

之前有人问我,这个问题有必要长篇大论的探讨吗?其实只要我觉得这个技术点重要而且具有迷惑性,就值得去写、去探讨,否则你很难完全明白。写这种文章有两个好处:

    首先,于作者而言,写出来文章让大家一起理解某个技术这本身就是一种考验,如果作者的观点、看法是正确的那么这样能加深作者自己对技术点的理解;如果错了,明眼人会指出错误,一起讨论、理解。再者,于读者而言,作者觉得只要读者能从文章中获得新的知识,那这篇文章的价值也就发挥出来了。作者也经常去看别人写的文章,通过别人的见解,可以快速理解某个技术。

如果想聪明,请犯错。如果不成功,那就再试一试。——《一万小时天才理论》

session

COOKIE存在于客户端,而SESSION存在于服务端,并且SESSION需要COOKIE的支持。

session是存在于服务端的信息管理机制,它把客户端信息以某种信息形式记录在服务器中,客户端再次访问只需要从session中查找用户的状态就可以了

session运行机制

session的运行机制是这样的,当程序需要为某个客户端的请求创建一个seesion时,服务器会首先检查这个客户端的请求中的cookie是否含有session标识符(很多人把他叫session_id)。考虑两种检查结果:1.包含session标识符并且没有过期,则表示服务器已经对这个客户端创建了session,而服务器只需按照session_id把session检索出来使用。

2.不包含seesion标识符或已过期,则需要新创建一个session并且生成与这个session相关联的session_id返回给客户端保存。

session存在的必要性

session存在的必要性,很少文章谈到这个,作者一开始一直都在想这个问题:

使用纯客户端中的cookie就能完成会话保持,为什么需要服务端的session?

先来看这个例子:在一个浏览器中登录博客园,通过开发工具获得了cookie并复制,在另一个浏览器中打开博客园(退出登录状态下),然后把复制好的cookie都填入该浏览器中,刷新,你会发现这个浏览器居然是已经是登录状态了。(作者亲测例子,读者自行测试具体截图不放了,若操作有问题评论区解决)

只要盗取了cookie,就能劫持session。同样的道理,如果单使用cookie,那么也是一样只要盗取了cookie就能做到冒充登录。既然盗取了cookie,无论是session还是cookie都一样会被冒充,那为什么需要session呢?

作者为了明白这个问题,花了很多时间才弄明白,没文化真阔怕。其实session存在的必要性可以从以下几点说明:1.用session只需要在客户端保存一个id,实际上大量数据都是保存在服务端。如果全部用cookie,数据量大的时候客户端是没有那么多空间的。2.cookie只是实现session的其中一种方案。虽然是最常用的,但并不是唯一的方法。还有URL等其他方式3.全部在客户端保存,服务端无法验证,这样伪造和仿冒会更加容易。(伪造一个随机的id很难,但伪造另一个用户名是很容易的)4.全部保存在客户端,那么一旦被劫持,全部信息都会泄露5.客户端数据量变大,网络传输的数据量也会变大

其实,在当下的开发中,都是结合二者使用的。

总结

COOKIE存在于客户端,而SESSION存在于服务端,并且SESSION需要COOKIE的支持。session是存在于服务端的信息管理机制,它把客户端信息以某种信息形式记录在服务器中,客户端再次访问只需要从session中查找用户的状态就可以了

session和cookie间的区别和联系:

    最大的区别,session在服务端,cookie在客户端。最大的联系,session需要cookie,完成一个会话需要两者结合。session比cookie要更安全。单cookie数据不能超过4K,另外浏览器可能会限制单个站点的cookie数量。而session在服务端没有此类限制。

考虑到后面会使用NODE.JS作为写session和cookie的实践,所以把文章分成3部分最好——cookie篇、session篇、NODE.JS实践篇。这样,读者可以按需去看,写NODE.JS可以看我下一篇的文章,不会NODE的可以跳过了。下次,NODE.JS见。


如果您觉得阅读本文对您有帮助,请点一下“推荐”按钮,您的“推荐”将是我最大的写作动力!

Reference

    https://blog.csdn.net/fangaoxin/article/details/6952954http://blog.51yip.com/php/938.htmlhttps://www.cnblogs.com/shiyangxt/articles/1305506.html