外贸服装网站模板,c 做视频网站,陕西省建设网证件查询,搜索引擎网站的搜素结果有何区别1.多服务节点下Session-Cooki方案如何做#xff1f;
Session-Cookie 方案在单体环境是一个非常好的身份认证方案。但是#xff0c;当服务器水平拓展成多节点时#xff0c;Session-Cookie 方案就要面临挑战了。
举个例子#xff1a;假如我们部署了两份相同的服务 A#x…1.多服务节点下Session-Cooki方案如何做
Session-Cookie 方案在单体环境是一个非常好的身份认证方案。但是当服务器水平拓展成多节点时Session-Cookie 方案就要面临挑战了。
举个例子假如我们部署了两份相同的服务 AB用户第一次登陆的时候 Nginx 通过负载均衡机制将用户请求转发到 A 服务器此时用户的 Session 信息保存在 A 服务器。结果用户第二次访问的时候 Nginx 将请求路由到 B 服务器由于 B 服务器没有保存 用户的 Session 信息导致用户需要重新进行登陆。
我们应该如何避免上面这种情况的出现呢
有几个方案可供大家参考
某个用户的所有请求都通过特性的哈希策略分配给同一个服务器处理。这样的话每个服务器都保存了一部分用户的 Session 信息。服务器宕机其保存的所有 Session 信息就完全丢失了。每一个服务器保存的 Session 信息都是互相同步的也就是说每一个服务器都保存了全量的 Session 信息。每当一个服务器的 Session 信息发生变化我们就将其同步到其他服务器。这种方案成本太大并且节点越多时同步成本也越高。单独使用一个所有服务器都能访问到的数据节点比如缓存来存放 Session 信息。为了保证高可用数据节点尽量要避免是单点。Spring Session 是一个用于在多个服务器之间管理会话的项目。它可以与多种后端存储如 Redis、MongoDB 等集成从而实现分布式会话管理。通过 Spring Session可以将会话数据存储在共享的外部存储中以实现跨服务器的会话同步和共享。
如果没有 Cookie 的话 Session 还能用吗
这是一道经典的面试题
一般是通过 Cookie 来保存 SessionID 假如你使用了 Cookie 保存 SessionID 的方案的话 如果客户端禁用了 Cookie那么 Session 就无法正常工作。
但是并不是没有 Cookie 之后就不能用 Session 了比如你可以将 SessionID 放在请求的 url 里面https://javaguide.cn/?Session_idxxx 。这种方案的话可行但是安全性和用户体验感降低。当然为了安全你也可以对 SessionID 进行一次加密之后再传入后端。
2.为什么Cookie无法防止CSRF攻击,而Token可以?
CSRF(Cross Site Request Forgery) 一般被翻译为 跨站请求伪造 。那么什么是 跨站请求伪造 呢说简单点就是用你的身份去发送一些对你不友好的请求。举个简单的例子
小壮登录了某网上银行他来到了网上银行的帖子区看到一个帖子下面有一个链接写着“科学理财年盈利率过万”小壮好奇的点开了这个链接结果发现自己的账户少了 10000 元。这是这么回事呢原来黑客在链接中藏了一个请求这个请求直接利用小壮的身份给银行发送了一个转账请求,也就是通过你的 Cookie 向银行发出请求。
a srchttp://www.mybank.com/Transfer?bankId11money10000科学理财年盈利率过万/
科学理财年盈利率过万/
上面也提到过进行 Session 认证的时候我们一般使用 Cookie 来存储 SessionId,当我们登陆后后端生成一个 SessionId 放在 Cookie 中返回给客户端服务端通过 Redis 或者其他存储工具记录保存着这个 SessionId客户端登录以后每次请求都会带上这个 SessionId服务端通过这个 SessionId 来标示你这个人。如果别人通过 Cookie 拿到了 SessionId 后就可以代替你的身份访问系统了。
Session 认证中 Cookie 中的 SessionId 是由浏览器发送到服务端的借助这个特性攻击者就可以通过让用户误点攻击链接达到攻击效果。
但是我们使用 Token 的话就不会存在这个问题在我们登录成功获得 Token 之后一般会选择存放在 localStorage 浏览器本地存储中。然后我们在前端通过某些方式会给每个发到后端的请求加上这个 Token,这样就不会出现 CSRF 漏洞的问题。因为即使你点击了非法链接发送了请求到服务端这个非法请求是不会携带 Token 的所以这个请求将是非法的。
需要注意的是不论是 Cookie 还是 Token 都无法避免 跨站脚本攻击Cross Site ScriptingXSS 。 跨站脚本攻击Cross Site Scripting缩写为 CSS 但这会与层叠样式表Cascading Style SheetsCSS的缩写混淆。因此有人将跨站脚本攻击缩写为 XSS。 XSS 中攻击者会用各种方式将恶意代码注入到其他用户的页面中。就可以通过脚本盗用信息比如 Cookie
