Facebook等网站是否以cookie或会话形式登录用户？

Question

像Facebook这样的网站存储在cookie(客户端)或会话(服务器端)中的用户？我的测试表明他们是第一个.

Answer 1

通常,用户当前登录的敏感信息必须存储在服务器端 - 请记住,cookie可以由用户自由阅读和更改.

你可能看到的是会话cookie,它将特定客户端绑定到服务器上的特定会话 - 这样服务器就知道要使用哪个会话.在这种情况下,cookie包含的唯一内容是一个长的随机会话ID - 它很长且随机,所以攻击者不能轻易猜到.

窃取另一个用户的会话cookie的行为称为会话劫持.

附加信息:

• Cookie VS Session
• PHP手册中的会话章节

Answer 2

他们将服务器端会话与 cookie 结合使用。

cookie 包含一个 ID，该 ID 会发送到 FaceBook，服务器会检查具有该 ID 的会话的详细信息。

Answer 3

我认为背后的想法$_sessions是服务器处理自己的信息更快、更有效，而不是从客户端接收大量信息。

这样看：

您（服务器）和一个朋友（客户）正在八卦您的另一个朋友 Cindy，您的朋友是否向您提供了有关她的所有详细信息（头发颜色、身高等...）？不，那将是浪费时间。您可以更快地处理您已经知道的有关 Cindy 的信息（在$_session文件、服务器端）并且只$_cookies从您的朋友（客户端）接收唯一信息 ( )。

高效：“喂，你听说辛迪昨晚做了什么吗？”

效率低下：“嘿，你有没有听到棕色头发、蓝眼睛、中等身材等的辛迪昨晚做了什么？”

显然，这并没有完全总结$_sessions和$_cookies，但也许它会帮助某人理解有效的短期数据管理。