这是一个创建于 2851 天前的主题，其中的信息可能已经有所发展或是发生改变。
我一直理解的的 session 是这样的，
用 cookie 创建一个 id,然后服务器端也创建一个字典，用于关联这个 id 和其他要存储的内容。
无论如何浏览器本地都需要存一个 cookie 用于标识自己(不是再说那种写在 URL 中的)，那么我们可以直接把这个 cookie 给清空，以后访问就相当于未访问状态。
我想试试这样是不是可以，然后发现， document. cookie 里面没动西。。。但是刷新页面的时候请求头里是有 cookie 。
我用的是 Flask,默认配置。有人知道咋回事吗？
用 cookie 创建一个 id,然后服务器端也创建一个字典，用于关联这个 id 和其他要存储的内容。
无论如何浏览器本地都需要存一个 cookie 用于标识自己(不是再说那种写在 URL 中的)，那么我们可以直接把这个 cookie 给清空，以后访问就相当于未访问状态。
我想试试这样是不是可以，然后发现， document. cookie 里面没动西。。。但是刷新页面的时候请求头里是有 cookie 。
我用的是 Flask,默认配置。有人知道咋回事吗？
 |
1
yeyeye 2016-06-28 15:08:11 +08:00  1
你听说过 XSS 吗？ 就是坏用户通过 JS 获取这个 sessionid 。然后偷走它！
但是浏览器不傻啊 马上制定了新的标准，也就是 Cookie 的 Httponly 属性， JS 读不到，但是服务器可以读写。 现在各种后端语言都会自带这个属性，确保 sessionid 的安全性。所以一般都是获取不到，可笑到了 2016 年还有 XSS 教程说通过 XSS 获取 sessionid 进行攻击，能获取到么？当然是获取不到的。 |
Select Language