是不是會被別人利用？而且我在每一個頁面怎么驗證是否登錄？單靠cookie可以嗎？還是得結合服務器進一步驗證session是不是也有？真實開發這都是怎么寫的啊
4 回答
冉冉說
TA貢獻1877條經驗 獲得超1個贊
你這個問題其實是兩個問題
1，cookies 和 session 的方式安全嗎？安全，不然也沒有什么其他辦法用戶記錄用戶狀態啊。所以用戶登錄成功以后在服務端生成session并在客戶端生成 cookies，讓它們彼此聯系用戶下次用戶從客戶端請求服務器端的時候攜帶 cookies 能找到 session。但是你需要使用一個隨機的或者 UUID等不方便識別的作為cookies存在客戶端，然后自己手動綁定其和session的關系。當然使用 HTTPS 以后會更安全。
2，有的接口需要有的接口，可以使用攔截器通過 API 的 mapping 控制精細的權限校驗。
慕俠2389804
TA貢獻1719條經驗 獲得超6個贊
Cookie存身份認證的信息，比方說角色，服務器可以生成cookie，通過key驗證是否為自己生產的cookie，沒有cookie或者不是服務器生成的cookie就是未登錄，遇到權限頁面可以通過解析cookie中的信息（即role）來判斷是否允許放行，沒有必要存取重要的用戶信息，建議研究一下jwt和無狀態授權
添加回答
舉報
0/150
提交
取消