01-what's Session

什么是web Session,在web应用中的作用

为什么需要Session

How Session Work in Web Applications and Why We Need It

TODO…

在Web互联网中，成千上万的用户访问同一个网站(interacting with website)，在每一个用户的访问中，用户与网站的多次交互中，web程序是如何鉴别和认证是之前同一用户的操作,也就是说，不同用户的访问web应用程序是隔离的，同一用户的多次访问是相关联的。也就是保存了在整个用户与web 应用程序的状态(抽象层面)。

具体对应的技术解决方式是：

The most useful method depends on a token that the Web Server sends to the client browser after a successful client authentication

在用户成功认证后，web应用程序会临时存储一些用户的相关的信息（session is a temporary local storage(bucket) at web server），然后生成一个token_id与该信息关联（作为唯一性），将这个token_id发送用户，当用户再次访问时通过这个token_id来鉴别。所以整个session会话机制，通过是通过session token来管理的。

StackOverflow: what are sessions?How do they work? BKSpurgeon的比喻很形象： 在伸手不见五指的银行中，等待着众多取钱的用户，那么取钱的时候，客服是如何判定你是取钱的那个人，而不会发生这种你取走别人的钱，或者你的钱被别人取走的糟糕情况。在这个过程，认证变得十分重要。

Session CS视角(point of view)

1. HTTP 是一个无状态的协议（stateless protocol）,在每一个的访问中，HTTP根本不知道之前发生了什么。
2. session是一个抽成层面的会话概念，技术上理解为就是一个存储机制（storage mechanism）,这个存储机制的具体实现取决于你自己对web应用的决定，这些临时存储的信息你可以存储在文件系统的text文件中，也可以是数据库中，第三方缓存软件如Redis中，亦或自己定义的HashMap,或者框架如Spring framework自带的Session.
3. session是key-value数据结构。可以存储在server，也可以存储在client.在client一般由浏览器（brower）以cookie的形式存储，在server端，就可以有更多的技术来实现session管理，如果有一百万个用户连接到服务器，那么也就会存在与用户各自对应一百万个session id 在server端。
4. 在访问私密数据（private data）时需要认证，但是每次认证都需要登录的话就比较annoying烦人，所以session在你第一次登录的时候就记录了认证信息。
5. 注意 one connection = one session id,如果一个用户在两个浏览器进行了登录，就会产生两个session id.session id是用来认证连接的，用户的认证逻辑通过应用程序来处理。

关键词

1. 认证
2. token
3. session是缓存（cache）

Session Hijacking attack

既然session会员中，token是唯一的，那么就会产生token被窃取，导致客户端操作的是另外一个用户，而服务器端则认证为是同一个用户操作。

TODO…

Session hijacking attack

参考链接

1. What are sessions?How do they work
2. Session hijacking attack
3. How Session Work in Web Applications and Why We Need It
4. Spring Session
5. How does a web session work