很多主流的網(wǎng)站都支持用戶自動(dòng)登錄的功能，瀏覽器登錄過(guò)一次之后，下次再訪問(wèn)就不用再輸用戶名密碼了。有一種糟糕的做法：用戶登錄后在服務(wù)器端用session保存用戶的登錄數(shù)據(jù)，在客戶端存鍵為sessionid的cookie；服務(wù)器處理請(qǐng)求時(shí)檢查這個(gè)請(qǐng)求帶來(lái)的sessionid，看是不是保存了對(duì)應(yīng)的數(shù)據(jù)，如果有就自動(dòng)登錄，沒(méi)有就讓輸入用戶名密碼。這個(gè)做法，只要拿了別人的sessionid就可以用來(lái)登錄了，非常不安全。
2 回答
慕碼人2483693
TA貢獻(xiàn)1860條經(jīng)驗(yàn) 獲得超9個(gè)贊
基本上都是通過(guò)保存sessionid來(lái)實(shí)現(xiàn)，如果想安全性好一點(diǎn)可以在服務(wù)器端做一個(gè)ip驗(yàn)證，看看兩次登陸的ip是否一樣，不過(guò)這個(gè)實(shí)現(xiàn)起來(lái)有問(wèn)題，如果你是用著筆記本電腦，ip老變就有問(wèn)題了，所以還是保存一個(gè)seesion比較靠譜。
如果其他人能拿到你的sessionid，那么也代表他完全可能拿到你的用戶名密碼，所以你的擔(dān)心沒(méi)有必要。
楊__羊羊
TA貢獻(xiàn)1943條經(jīng)驗(yàn) 獲得超7個(gè)贊
將用戶登錄相關(guān)信息加密保存在cookie中，這樣下次打開(kāi)網(wǎng)站時(shí)直接驗(yàn)證cookie中數(shù)據(jù)，這樣就可以實(shí)現(xiàn)自動(dòng)登錄了
- 2 回答
- 0 關(guān)注
- 227 瀏覽
添加回答
舉報(bào)
0/150
提交
取消