很多主流的網站都支持用戶自動登錄的功能，瀏覽器登錄過一次之后，下次再訪問就不用再輸用戶名密碼了。有一種糟糕的做法：用戶登錄后在服務器端用session保存用戶的登錄數據，在客戶端存鍵為sessionid的cookie；服務器處理請求時檢查這個請求帶來的sessionid，看是不是保存了對應的數據，如果有就自動登錄，沒有就讓輸入用戶名密碼。這個做法，只要拿了別人的sessionid就可以用來登錄了，非常不安全。
2 回答
慕碼人2483693
TA貢獻1860條經驗 獲得超9個贊
基本上都是通過保存sessionid來實現，如果想安全性好一點可以在服務器端做一個ip驗證，看看兩次登陸的ip是否一樣，不過這個實現起來有問題，如果你是用著筆記本電腦，ip老變就有問題了，所以還是保存一個seesion比較靠譜。
如果其他人能拿到你的sessionid，那么也代表他完全可能拿到你的用戶名密碼，所以你的擔心沒有必要。
- 2 回答
- 0 關注
- 211 瀏覽
添加回答
舉報
0/150
提交
取消