验证码和session结合必要性

我们填完了验证码，提交到服务器，服务器开始判断你填的对不对，他怎么判断的呢？服务器不是有session吗？一比不就得了嘛！怎么比？服务器的session多了去了，所以只能拿着键，去找值，那这个值和你提交过来的值比。那么问题来了，键是那来的？你什么时候提交过来的？见鬼了？相信大家都已经想到了，这个键就是刚才那个cookie的值。

原来session是通过cookie实现的啊，他们都是一个(key，value)对啊？

服务器设定验证码session的时候，键直接设置为"VCode",还用从cookie里找干嘛？针对一个用户来说，这样是可以的，如果多个用户同时访问的话，会发生什么情况。A刚拿到验证码，VCode存的是A的字符。这时候B来登陆，VCode立马变成B的字符，A兴致勃勃的填完了去登陆，验证码错误！所以，cookie中存的不是vcode的key,他是sessionId，服务器中是session空间像一个柜子，sessionid就是那个柜子的钥匙，而柜子里存的才是你网session中存的数据，当然了，验证码就存在柜子里。

附图一张,便于理解。

非原创。

转载于:https://my.oschina.net/u/3996925/blog/2967501