Cookie、Session和Token辨析

转载自https://www.cnblogs.com/yanggb/p/10940975.html

Cookie、Session和Token都是为了解决Web身份校验而产生的

Cookie

Cookie是一个非常具体的东西,指的就是浏览器里面能永久存储的一种数据,仅仅是浏览器实现的一种数据存储功能。

Cookie是由服务器生成,发送给浏览器,浏览器把Cookie以Key-Value的形式保存到某个目录下的文本文件内,下一次请求同一个网站的时候会把该Cookie发送给服务器。由于Cookie是存在客户端上的,所以浏览器加入了一些限制确保Cookie不会被恶意使用,同时不会占据太多的磁盘空间,每个域的Cookie数量都是有限的。

Session

Session从字面上讲,就是会话。这个就类似于与一个人交谈,你怎么知道当前和你交谈的是张三而不是李四呢?对方肯定有某种特征(长相等)表明他就是张三。Session也是类似的道理,服务器要知道当前发送请求给自己的是谁。为了做这种区分,服务器就要给每个客户端分配不同的身份标识,然后客户端每次向服务器发送请求的时候,都会带上这个身份标识,服务器就会知道这个请求是来自于谁了。至于客户端怎么保存这个身份标识,可以有很多方式,对于浏览器客户端来说一般都默认采用Cookie的方式。

服务器使用Session把用户的信息临时保存在了服务器上,用户离开网站之后Session会被销毁。这种用户信息存储方式相对Cookie来说更加安全,可是Session有一种缺陷,如果Web服务器做了负载均衡,那么下一个操作请求到了另一台服务器的时候Session就会丢失。

Token

在Web领域基于Token的身份验证随处可见。在大多数使用Web API的互联网公司中,Token是多用户下处理认证的最佳方式。大部分你见到过的API和Web应用都是使用Token,例如Facebook、Twitter、Google+和Github等。

在介绍基于Token的身份验证的原理与优势之前,不妨先看看之前的认证都是怎么做的。我们都是知道HTTP协议是无状态的,这种无状态意味着程序需要验证每一次请求,从而辨别客户端的身份。在这之前,程序都是通过在服务端存储的登陆信息(Session)来辨别请求的。随着Web应用程序以及移动端的兴起,这种验证方式逐渐暴露出了问题,尤其是在可扩展性方面。

基于服务器验证方式暴露的一些问题

1.Session:每次认证用户发起请求时,服务器需要去创建一个记录来存储信息。当越来越多的用户发请求时,内存的开销也会不断增加。

2.可扩展性:在服务端的内存中使用Session存储登陆信息,伴随而来的是可扩展性问题。

3.CORS(跨域资源共享):当我们需要让数据跨多台移动设备上使用的时候,跨域资源的共享就会是一个让人头疼的问题。在使用Ajax抓取另一个域的资源,就可能会出现禁止请求的情况。

4.CSRF(跨域请求伪造):用户在访问银行网站时,这种验证方式很容易受到跨站请求伪造的攻击,并且能够被利用其访问其他的网站。

在这些问题中,可扩展性是最突出的,因此我们有必要去寻求一种更加行之有效的方法。

基于Token的验证方式

基于Token的身份验证是无状态的,不将用户信息存在服务器或Session中,这种概念就解决了在服务端存储信息时的很多问题。No Session意味着程序可以根据需要去增减机器,而不用去担心用户是否登陆的问题。基于Token的身份验证的过程如下:

1.用户通过用户名和密码发送请求。

2.程序验证登陆信息,并返回一个签名的Token给客户端。

3.客户端存储Token。

4.客户端再次发起HTTP请求,将Token附加在请求中,服务端验证Token并返回数据。

Token的优势

1.无状态、可扩展。在客户端存储的Token是无状态的,并且能够被扩展。基于这种无状态和不存储Session信息,负载均衡器就能够将用户信息从一个服务传到其他服务器上。如果我们将已验证的用户的信息保存在Session中,则每次请求都需要用户向已验证的服务器发送验证信息(称为Session亲和性),在用户量大的时候,可能会造成一些拥堵(集群中的某一台服务器压力过大)。使用Token则不会有这些问题,因为Token不需要依赖特定的服务器。

2.支持移动设备。移动设备只需要有存储Token的能力,就能够使用这种身份验证的方式。

3.跨程序调用。只要用户有了一个验证通过的Token,数据和资源就能够在任何有相同校验规则的服务器(域)上请求到。

4.安全性较高。请求中发送Token而不再是发送Cookie,这样就能够防止CSRF(跨站请求伪造)。即使在客户端使用Cookie存储Token,Cookie也仅仅是一个存储机制而不是用于认证。不将信息存储在Session中,让我们少了对Session的操作。Token是有时效的,一段时间之后用户就需要重新验证。同时,Token还能有撤回的操作,可以通过Token Revocatation使一个特定的Token或一组Token失效。

转载自https://www.cnblogs.com/yanggb/p/10940975.html

  • 0
    点赞
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论

“相关推荐”对你有帮助么?

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值