Cookie和会话如何运作？

Question

我正在尝试专业地理解Cookies和会话,我知道当浏览器进入服务器时,服务器"询问"浏览器在客户端浏览器cookie文件夹中"粘贴"他自己的"phpsessid"cookie,现在当我们有" phpsessid"当客户端进入服务器时,浏览器向服务器发送"phpsessid",服务器查看他的tmp文件夹,如果我们有匹配,那么它会加载回给他的每个数据,但我有点困惑所有的过程.

如果有人能帮助我理解创建会话和cookie的过程(发生的事情"幕后花絮"),我将感激不尽.谢谢你们.

Answer 1

我们来看看:

Cookie和会话都是在浏览器发出的不同请求之间保留应用程序状态的两种方法.感谢他们,例如,每次在 StackOverflow上请求页面时都不需要登录.

饼干

Cookie是一小部分数据(最长4KB),它将数据保存在key = value对中:

name=value; name2=value2

这些可以通过JavaScript设置,也可以使用HTTP标头通过服务器设置.

Cookie具有到期日期时间设置,例如使用HTTP标头:

Set-Cookie: name2=value2; Expires=Wed, 19 Jun 2021 10:18:14 GMT

这将导致浏览器设置一个名为name2值的cookie value2,该cookie 将在大约9年后到期.

Cookie被认为是高度不安全的,因为用户可以轻松地操纵其内容.这就是为什么你应该总是验证cookie数据.不要假设你从cookie中得到的东西必然是你所期望的.

Cookie通常用于保留登录状态,其中从浏览器发送用户名和特殊哈希,服务器根据数据库检查它们以批准访问.

Cookie也经常用于会话创建.

会议

会话略有不同.每个用户都获得一个会话ID,通过cookie或GET变量将其发送回服务器进行验证.

会话通常是短暂的,这使它们成为在应用程序之间保存临时状态的理想选择.一旦用户关闭浏览器,会话也会过期.

会话被认为比cookie更安全,因为变量本身保存在服务器上.以下是它的工作原理:

1. 服务器打开会话(通过HTTP标头设置cookie)
2. 服务器设置会话变量.
3. 客户更改页面
4. 客户端发送所有cookie以及步骤1中的会话ID.
5. 服务器从cookie读取会话ID.
6. 服务器匹配数据库(或内存等)中的列表中的会话ID.
7. 服务器找到匹配项,读取现在在$_SESSION超全局上可用的变量.

如果PHP找不到匹配项,它将启动一个新会话,并重复1-7中的步骤.

您可以在会话中存储敏感信息,因为它保留在服务器上,但请注意,如果用户(例如,通过不安全的WiFi登录),会话ID仍然可能被盗.(攻击者可以嗅探cookie,并将其设置为自己的cookie,他不会自己看到变量,但服务器会将攻击者识别为用户).

这是它的要点.您可以在这两个主题的PHP手册上了解更多信息.