樱之花

叶散的时候,你明白欢聚;花谢的时候,你明白青春.

日志

关于我

yinzhihua2008

分类中“我的实验室”是我在日常工作中的一些知识总结,有些写的比较匆忙,可能大家在阅读时会产生困扰,后期有时间我会重新整理编辑,谢谢大家的到访,您们的支持是我前进的动力！

文章分类

session和cookie的最深刻理解

2009-08-10 16:43:00| 分类： ASP开发 | 标签： |举报 |字号大中小订阅

下载LOFTER 我的照片书 |

去先说session

对SESSION的争论好象一直没有停止过，不过幺麽能理解SESSION的人应该占90以上。

但还是讲讲，别嫌老~

有一些人赞成用SESSION，有一些人不赞成。但这个问题到底要怎么说。不妨听听我的看法

如果有错误请不要朝丢东西，金条和硬币除外。

有些人应该知道我是做江湖程序的，而江湖程序做看中的就是效率，但这里不谈设计，而

从一些比较实际的角度看SESSION。

首先要先说SESSION是干什么的，SESSION是可以存储针对与某一个用户的IE以及通过其当

前窗口打开的任何窗口具有针对性的用户信息存储机制。为什么要这样说。看下边

先研究SESSION是如何启动的，当打开IE以后浏览网站后会发出一个指令请求SESSIONID以

及对各个类型数据的下载许可，如图片，声音以及FLASH。

数据实际传输内容：IE到服务器

GET / HTTP/1.1

Accept: image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, */*

Accept-Language0: zh-cn

Accept-Encoding: gzip, deflate

User-Agent: Mozilla/4.0 (compatible; MSIE 5.01; Windows NT 5.0)

Host: www.jh521.com

Connection: Keep-Alive

服务器会返回一个没有被使用的SESSIONID让IE使用，当时IE就对返回SESSIONID做存储

并同时返回相关页面的下载数据，如下:服务器到IE

HTTP/1.1 200 OK

Server: Microsoft-IIS/5.0

Date: Sun, 30 Nov 2003 16:41:51 GMT

Content-Length: 21174..Content-Type: text/html

Set-Cookie: ASPSESSIONIDCACBBBRT=IBOMFONAOJFEEBHBPIENJFFC; path=/

Cache-control: private

然后就是页面HTML代码

此时这个IE程序(不是客户机)的SESSIONID就为IBOMFONAOJFEEBHBPIENJFFC

而当IE在访问任何这个站点的ASP程序的时候，就会把IBOMFONAOJFEEBHBPIENJFFC发送

给服务器，服务器就会知道IBOMFONAOJFEEBHBPIENJFFC是表示你

而在服务器上设置SESSION("name")="name"

完全可以看成是

SESSION("IBOMFONAOJFEEBHBPIENJFFC")("name")="name"

或者

SESSION(SESSIONID)("name")="name"

这样，SESSION就区分开用户了。

而当服务器反馈这个ID的时候会看这个ID有没有被使用。如果有在换一个

反正不会让你重复，如果想模拟某人的SESSION的ID来进行欺骗是可以的。不过要获取到

对方IE传输信号，并且在保证当时这个SESSIONID没有被取消的情况下才可能实施。

不过要是我有那时间直接通过POST信号找他NAME和PASS了。我可不费这个劲

想必一些人明白了了SESSIONID到底是如何工作的

那么就在看看COOKIE,有人说SESSIONID就是COOKIE，按照技术上来讲他们不属于同类

但是属于一种工作模式，用户和服务器传输私有数据

当我设置COOKIE的时候，服务器会反馈给IE一个指令。IE通过这个网络指令生成COOKIE并

存放,在特定的时候会取得这个这个信息如在访问这个站点并且COOKID有效的时候。

那么为什么要用COOKIE而不用SESSION呢

看下区别

有效时间以及存储方式传输内容

COOKIE 可设置并在本地保留明码信息

SESSION 在IE不关闭并服务器不超时只有SESSIONID

当如果想让用户下次登入网站不需要输入用户名或者密码的时候就只能用COOKIE,

因为他可以保留相当长的时间(在COOKIE记录被删除或者失效日期之前)

而SESSION就不可以，他不会保留太长时间，而且IE在关闭后就自动清除了SESSIONID记录

在下次登入的时候会请求新的SESSIONID

而服务器想通过用户个人变量校验用户的状态的时候，就不能用COOKIE

如果用设置用户权限是USER。而IE访问的时候就把USER的明码传输到服务器。

那么如果我通过一定手段，比如直接修改COOKIE记录，把USER修改成ADMIN呢~~

就麻烦了。

但存储用户名和密码或者网站的配色方案这样的信息，用COOKIE是最好的

好，有点累了，在说说这个东西

Request.ServerVariables("HTTP_REFERER")

我想有一些人通过这个Request.ServerVariables("HTTP_REFERER")

来进行一些关键性限制,特别是对付远程提交以及非法侵入。

那么我就要提醒下服务器取得的HTTP_REFERER信息完全是IE传输给服务器的，可以模拟

而且难度不大，用不到半个小时就可以用VB做出一个针对HTTP_REFERER入侵程序。

（可惜我原先拿它没干正经事情，做WEB游戏挂机程序来的)

评论这张

转发至微博

阅读(647)| 评论(0)

历史上的今天

this.p={  m:2,
              b:2,
              loftPermalink:'',
              id:'fks_082069087086081069085082094095083095085064084080081',
              blogTitle:'session和cookie的最深刻理解',
              blogAbstract:'<P style=\"TEXT-INDENT: 2em\"\>去先说session </P\>\r\n<P style=\"TEXT-INDENT: 2em\"\>对SESSION的争论好象一直没有停止过，不过幺麽能理解SESSION的人应该占90以上。 </P\>\r\n<P style=\"TEXT-INDENT: 2em\"\>但还是讲讲，别嫌老~ </P\>\r\n<P style=\"TEXT-INDENT: 2em\"\>有一些人赞成用SESSION，有一些人不赞成。但这个问题到底要怎么说。不妨听听我的看法 </P\>\r\n<P style=\"TEXT-INDENT: 2em\"\>如果有错误请不要朝丢东西，金条和硬币除外。 </P\>\r\n<P style=\"TEXT-INDENT: 2em\"\>有些人应该知道我是做江湖程序的，而江湖程序做看中的就是效率，但这里不谈设计，而 </P\>\r\n<P style=\"TEXT-INDENT: 2em\"\>从一些比较实际的角度看SESSION。 </P\>\r\n<P style=\"TEXT-INDENT: 2em\"\>首先要先说SESSION是干什么的，SESSION是可以存储针对与某一个用户的IE以及通过其当 </P\>\r\n<P style=\"TEXT-INDENT: 2em\"\>前窗口打开的任何窗口具有针对性的用户信息存储机制。为什么要这样说。看下边 </P\>',
              blogTag:'',
              blogUrl:'blog/static/794306720097104430950',
              isPublished:1,
              istop:false,
              type:2,
              modifyTime:0,
              publishTime:1249893780950,
              permalink:'blog/static/794306720097104430950',
              commentCount:0,
              mainCommentCount:0,
              recommendCount:0,
              bsrk:-100,
              publisherId:0,
              recomBlogHome:false,
              currentRecomBlog:false,
              attachmentsFileIds:[],
              vote:{},
              groupInfo:{},
              friendstatus:'none',
              followstatus:'unFollow',
              pubSucc:'',
              visitorProvince:'',
              visitorCity:'',
              visitorNewUser:false,
              postAddInfo:{},
              mset:'000',
              mcon:'',
              srk:-100,
              remindgoodnightblog:false,
              isBlackVisitor:false,
              isShowYodaoAd:true,
              hostIntro:'分类中“我的实验室”是我在日常工作中的一些知识总结,有些写的比较匆忙,可能大家在阅读时会产生困扰,后期有时间我会重新整理编辑,谢谢大家的到访,您们的支持是我前进的动力！',
              hmcon:'1',
              selfRecomBlogCount:'0',
              lofter_single:'<iframe width="140" height="560" style="overflow:hidden;" src="http://www.lofter.com/mailEntry.do?blogad=1&blog" frameBorder="0"></iframe>'
            }

{list a as x}
    {if !!x}
    <div class="iblock nbw-fce nbw-f40">
      <a class="fc03 noul" target="_blank" hidefocus="true" href="http://blog.163.com/${x.visitorName}/">
      {if x.visitorName==visitor.userName}
      <img alt="${x.visitorNickname|escape}" onerror="this.src=location.f40" class="cwd bdwa bdc0" src="${fn1(x.visitorName)}&r=${visitor.imageUpdateTime}"/>
      {else}
      <img alt="${x.visitorNickname|escape}" onerror="this.src=location.f40" class="cwd bdwa bdc0" src="${fn1(x.visitorName)}"/>
      {/if}
      </a>
      <div class="cwd vname thide">
        {if x.moveFrom=='wap'}
          <a class="noul pnt" target="_blank" href="http://blog.163.com/services/wapblog.html?frompersonalbloghome"><span title="来自网易手机博客" class="iblock wapIcon"> </span></a>
        {elseif x.moveFrom=='iphone'}
          <a class="noul pnt" target="_blank"><span title="来自iPhone客户端" class="iblock iphoneIcon"> </span></a>
        {elseif x.moveFrom=='android'}
          <a class="noul pnt" target="_blank"><span title="来自Android客户端" class="iblock androidIcon"> </span></a>
        {elseif x.moveFrom=='mobile'}
          <a class="noul pnt" target="_blank" href="http://blog.163.com/services/emsblog.html?frompersonalbloghome"><span title="来自网易短信写博" class="iblock wapIcon"> </span></a>
        {/if}
        <a class="fc03 m2a"  target="_blank" hidefocus="true" href="http://blog.163.com/${x.visitorName}/">
          ${fn(x.visitorNickname,8)|escape}
        </a>
      </div>
    </div>
    {/if}
    {/list}

<#--最新日志，群博日志--> <#--推荐日志-->

<p class="fc06">推荐过这篇日志的人：</p>
    <div>
      {list a as x}
      {if !!x}
      <div class="iblock nbw-fce nbw-f40">
        <a class="fc03 noul" target="_blank" hidefocus="true" href="http://blog.163.com/${x.recommenderName}/">
        <img alt="${x.recommenderNickname|escape}" onerror="this.src=location.f40" class="cwd bdwa bdc0" src="${fn1(x.recommenderName)}"/>
        </a>
        <div class="cwd thide">
          <a class="fc03 m2a" target="_blank" hidefocus="true" href="http://blog.163.com/${x.recommenderName}/">
            ${fn(x.recommenderNickname,6)|escape}
          </a>
        </div>
      </div>
      {/if}
      {/list}
    </div>
    {if !!b&&b.length>0}
    <p  class="fc06">他们还推荐了：</p>
    <ul>
    {list b as y}
      {if !!y}
        <li class="rrb"><span class="iblock">·</span><a class="fc03 m2a" target="_blank" href="http://blog.163.com/${y.recommendBlogPermalink}/?from=blog/static/794306720097104430950">${y.recommendBlogTitle|escape}</a></li>
      {/if}
    {/list}
    </ul>
    {/if}

<#--引用记录--> <#--博主推荐--> <#--随机阅读--> <#--首页推荐--> <#--历史上的今天--> <#--被推荐日志--> <#--上一篇，下一篇--> <#-- 热度 -->

{list a as x}
    {if !!x}
    <div class="hotItem iblock nbw-fce nbw-f40">
      <a class="fc03 noul" target="_blank" hidefocus="true" href="http://blog.163.com/${x.publisherUsername}/">
      {if x.publisherUsername==visitor.userName}
      <img alt="${x.publisherNickname|escape}" onerror="this.src=location.f40" class="cwd bdwa bdc0" src="${fn1(x.publisherUsername)}&r=${visitor.imageUpdateTime}"/>
      {else}
      <img alt="${x.publisherNickname|escape}" onerror="this.src=location.f40" class="cwd bdwa bdc0" src="${fn1(x.publisherUsername)}"/>
      {/if}
      </a>
      <div class="cwd vname thide">
        <a class="fc03 m2a"  target="_blank" hidefocus="true" href="http://blog.163.com/${x.publisherUsername}/">
          ${fn(x.publisherNickname,8)|escape}
        </a>
      </div>
      <a class="f-myLikeIcons hottype {if x.type==1} js-liketype{elseif x.type==2} js-reblogtype{elseif x.type==3} js-sharetype{else}{/if}" target="_blank" hidefocus="true" href="http://blog.163.com/${x.publisherUsername}/"> </a>
    </div>
    {/if}
    {/list}

<#-- 网易新闻广告 --> <#--右边模块结构--> <#--评论模块结构--> <#--引用模块结构--> <#--博主发起的投票-->

页脚

我的照片书 - 手机博客 - 下载LOFTER APP - 订阅此博客

樱之花

导航

日志

session和cookie的最深刻理解

历史上的今天

最近读者

热度

评论

页脚