首页   注册   登录
V2EX = way to explore
V2EX 是一个关于分享和探索的地方
现在注册
已注册用户请  登录
tctc4869
V2EX  ›  Java

现在的 Java web 用原生的 Session 做用户状态控制不安全吗?

  •  
  •   tctc4869 · 113 天前 · 2558 次点击
    这是一个创建于 113 天前的主题,其中的信息可能已经有所发展或是发生改变。

    如题,session,是指浏览器里的 cookie 里的那个 JSESSIONID 么?服务端根据 cookie 里的这个来做客户端状态控制?能凭那个 JSESSIONID 就能劫持攻击吗?如果是这样的话,那得自己用缓存框架,根据安全需要来定制用户状态控制了?或者用 token ?

    10 条回复    2019-12-26 11:26:16 +08:00
    joooooker21
        1
    joooooker21   113 天前
    还要考虑集群环境下 session 如果共享的问题
    joooooker21
        2
    joooooker21   113 天前
    如果 -> 如何
    tctc4869
        3
    tctc4869   113 天前
    @joooooker21 目前硬件环境还只是单个服务器,用 session,只是简单方便。如果是为了集群分布式,那是以后了,我现在比较关心的是 session 的安全问题
    jugelizi
        4
    jugelizi   113 天前
    xss 和 csrf 了解下 如何防御
    chendy
        5
    chendy   113 天前
    浏览器环境还是 cookie-session + csrf token
    dilu
        6
    dilu   113 天前 via Android
    其实你这是逻辑问题,不是技术问题。
    假设你用了 token,我作为一个第三者,都能拿到用户 session 了为什么不能拿到 token ?
    要在逻辑上去处理,例如充值提现这种敏感操作需要短信验证等等。
    jorneyr
        7
    jorneyr   112 天前
    源头泄漏没有什么好办法能够阻止了,一般的被劫持指的是中间环节。
    coang
        8
    coang   112 天前
    现在 web 前后端分离 没有 session 一说 一开始就使用自己模拟 session 往后扩展可以少一点坑
    tctc4869
        9
    tctc4869   111 天前
    @coang 只能使用 redis 之类的远程缓存库框架来做 session 缓存吗
    coang
        10
    coang   102 天前
    @tctc4869 单机可以直接用 EhCache 到时候扩展再用别的也行..
    关于   ·   FAQ   ·   API   ·   我们的愿景   ·   广告投放   ·   感谢   ·   实用小工具   ·   2590 人在线   最高记录 5168   ·     Select Language
    创意工作者们的社区
    World is powered by solitude
    VERSION: 3.9.8.5 · 21ms · UTC 00:46 · PVG 08:46 · LAX 17:46 · JFK 20:46
    ♥ Do have faith in what you're doing.