Login, cookie, session等概念理解

实战篇03:登录接口 请求路径:/user/login请求方式:POST接口描述:该接口用于登录。 阅读详情

在网站或mobile开发时,最重要的模块之一就是Login登陆模块了。

对于开发而言,Login模块最常考虑的子模块就是:


1. 从数据库中获取登陆用户的信息,GetUserCredential

如userId, username, password, cookies, lastLoginTime, isKeepLogin及其他公司或身份信息。


2. 在用户输入或者从数据库中拿到username, password后,Login接口

常用接口定义及参数 Login(username, password, isKeepLogin)

进行登陆,一般的流程逻辑:

a. 删除旧的cookie和userid信息 (server就不会拿到带有完整cookie或userid的Login请求);

b. 将username, password, device time等信息发送给server,POST的请求方式。

c. server响应:server在验证完username,password以后,会传回更多的信息,最重要的就是userid和cookies,它们以后每次url请求都会被包含在http header中,是能否被server接受的关键信息. 如何登陆失败,那什么都拿不到,什么也都不记录。

d. 向数据库中增加或更新用户身份信息,username, password, userid, cookies, isKeepLogin等


3. RenewSession

在用户发送url请求时,会遇到401的信息。表明请求未被授权,及用户身份被被验证。

造成这种问题的原因有:

a. 在首次登陆时,表明用户名和密码其中之一或两者都无效,如输入有误、用户名暂时停用

b. session过期,需要重新登陆


这时可以尝试使用保存过的用户名和密码登陆一下,如果登陆成功,就再次刷新用户的身份信息,并且这种尝试方式,只能有一次。


4. Force To Web

在mobile开发时,还会遇到一种方式Force To Web,直接采用打开内置浏览器进行登陆的方式,这个时候,数据库需要保存web方式的cookie。


5. Logout

清除数据库中的userid和cookie及password,因为这些都是用户再次登陆需要输入的关键信息。


6. isLogin

判断是否已经登陆,可以判断数据库中的userid,cookie都存在。


8. 对于Login之前更多的信息,如公司、学校的选择等,无关个人的信息,需要更多的逻辑来处理login的流程。


*. 其他需要熟悉的概念

Http header域包含哪些信息:

UserAgent

Cookie

ContentType

AcceptLanguage


userAgent

各种软硬件的版本,是在http协议中,头域的组成部分,通过这个标识,用户所访问的网站可以显示不同的排版从而为用户提供更好的体验或者进行信息统计;例如用手机访问谷歌和电脑访问是不一样的,这些是谷歌根据访问者的UA来判断的。

信息如:

"platform" : os平台,如iOS
"platform_version",os的操作系统版本
"carrier_code" :移动网络运营商的代码
"carrier_name" 

"device_name" : 硬件名称,如iphone6
"device_id" : 硬件id,ios可以从IdentifierForVendor获取,android可以从TelephonyManagerSecure获取。

"app_name" : app名称
"app_version"

"timezone" : 时区信息, 如"GMT+8","GMT-8"等标准信息

cookies有什么作用呢?

现在上许多网站都用新用户注册这一项,有时注册了一下,等到下次再访问该站点时,会自动识别到你,并且向你问好,是不是觉得很亲切?当然这种作用只是表面现象,更重要的是,网站可以利用cookies跟踪统计用户访问该网站的习惯,比如什么时间访问,访问了哪些页面,在每个网页的停留时间等。利用这些信息,一方面是可以为用户提供个性化的服务,另一方面,也可以作为了解所有用户行为的工具,对于网站经营策略的改进有一定参考价值。例如,你在某家航空公司站点查阅航班时刻表,该网站可能就创建了包含你旅行计划的Cookies,也可能它只记录了你在该站点上曾经访问过的Web页,在你下次访问时,网站根据你的情况对显示的内容进行调整,将你所感兴趣的内容放在前列。这是高级的Cookie应用。

目前Cookies 最广泛的是记录用户登录信息,这样下次访问时可以不需要输入自己的用户名、密码了——当然这种方便也存在用户信息泄密的问题,尤其在多个用户共用一台电脑时很容易出现这样的问题。

如cookie信息可以包括user_id,传送给server


Session ID的载体是 Cookie,那session和cookie的过期时间的区别是什么?

 Session过期是服务器过期, 而Cookie过期是客户端(浏览器)来保证的, 即使你设置了Cookie过期, 这个只能保证标准浏览器到期的时候, 不会发送这个Cookie(包含着Session ID), 而如果通过构造请求, 还是可以使用这个Session ID的值.


如何设置一个30分钟过期的Session?

1. 设置Cookie过期时间30分钟, 并设置Session的lifetime也为30分钟.
2. 自己为每一个Session值增加Time stamp.

3. 每次访问之前, 判断时间戳.

实际使用场景的话, 比如30分钟就过期的优惠劵


什么是cookie,什么是session?

这篇文章中介绍的很详细:

http://www.cnblogs.com/songhan/archive/2012/07/23/2604299.html

简要来说

cookie是客户端保持状态的解决方案,session是保存客户端与服务端联系状态的解决方案。

摘抄:“cookie 和session 的区别

1、cookie数据存放在客户的浏览器上,session数据放在服务器上。

2、cookie不是很安全,别人可以分析存放在本地的COOKIE并进行COOKIE欺骗
   考虑到安全应当使用session

3、session会在一定时间内保存在服务器上。当访问增多,会比较占用你服务器的性能
   考虑到减轻服务器性能方面,应当使用COOKIE

4、单个cookie在客户端的限制是3K,就是说一个站点在客户端存放的COOKIE不能3K。

5、所以个人建议:
   将登陆信息等重要信息存放为SESSION

   其他信息如果需要保留,可以放在COOKIE中”


CookieSession、Token、JWT与OAuth2:Web认证授权核心概念全解析 在Web开发中,认证与授权是保障应用安全的核心机制。其基本原理是解决HTTP无状态协议下的用户身份识别与权限管理问题。从技术实现上看,经典的Cookie-Session机制通过在客户端存储标识、服务端维护会话状态来实现有状态认证;而基于Token的无状态认证,则将用户信息编码在令牌中,由客户端存储并在请求时携带,服务器通过验证签名即可识别身份,这显著提升了分布式系统的扩展性。JWT作为Token的一种流行标准,采用结构化格式(Header.Payload.Signature)实现信息自包含与防篡改,广泛应用 阅读详情

相关推荐

从零开始理解异构算力调度:全国一体化算力算网平台实战解析

本文深入解析了异构算力调度技术在全国一体化算力算网平台中的实战应用。通过资源抽象层设计、动态感知引擎和跨云调度算法,实现AI训练任务的高效资源分配,显著提升计算效率并降低成本。特别针对GPU等异构算力的智能调度方案,为多云协同环境下的AI开发提供实用指南。

weixin_28730927的博客 302

islogin:用于检查用户是否登录的快速中间件

登录 这是一个 Express 中间件,主要用于检查用户是否登录 安装 npm install islogin 用法 *Notice: in the lib use req.logined || req.session.logined to verify, If you need to custom, please use a custom validator* 在 app.js 中 Use before the start of the route, here is the batch set all need to check the URL list, support for regular expressions app.use(islogin({pattern:[/\/test\/*?/,'/home/index','/user/add'],redirect:'

【上海大学计算机组成原理实验报告】五、机器语言程序实验

机器语言程序实验//理解计算机执行程序的实际过程//学习编制机器语言简单程序的方法//将R1中的数值左移n次送OUT,其中n是R2中的数值。(指令码从10开始)//完成R3=R0×R1,结果送OUT。(指令码从30开始)//建立“中文汇编指令”需要哪些条件?//上海大学计算机组成原理实验报告

HackerKevon的博客 2159

vue项目实战-----登录态管理(路由守卫+vuex+Axios)

目的:保存用户登录状态,刷新页面时做到用户状态不变:一刷新就去localStorage中获取token与islogin对vuex中的信息进行更新。

小蜗牛的博客 2429

Python装饰器模拟登录系统

#装饰器: import time import random islogin = False dict1 = {'08172357':'123456','0':'0'} def random_number(n): list1 = ['0','1','2','3','4','5','6','7','8','9','a','b','c','d','e','f','g','h','i','j'...

帅聪锅锅的博客 793

登陆接口如何写

我们可以看到近些年来,几乎所有的应用都会让用户绑定手机,一个是国家的实名制政策要求,第二个是手机基本上和身份证一样,基本上可以代表一个人的身份标识了。所以很多安全操作都是基于手机验证来进行的,登录也可以。那这时候又有同学说了,那我可以直接限制非正常用户的登录操作,当它密码错误达到一定次数时,直接拒绝用户的登录,隔一段时间再恢复。只要网站是暴露在公网的,那么很大概率上会被人盯上,尝试爆破这种简单且有效的方式:通过各种方式获得了网站的用户名之后,通过编写程序来遍历所有可能的密码,直至找到正确的密码为止。

z_ssyy的博客 699

对于sessioncookie理解

【主要讲sessioncookie在服务器端和客户端的工作方式,代码中有些方法使用的是thinkphp的方法】用户登录的时候,输入用户名和密码,并且勾选了“下次自动登录”(表单name为auto),那么服务器端收到了该表单中的auto字段,就会去生成给该用户的cookie。之后在服务器端生成一个$_SESSION['uid']用于保持该会话,之后就会跳转到登录后的页面--首页(把HTML发给客户

misaka去年夏天的博客 1183

【Linux网络】深入理解 HTTP 协议(五):CookieSession从无状态到会话保持的底层实现

相信大家都有过这样的体验:登录 B 站后关闭浏览器,第二天打开依然保持登录状态;在购物网站添加商品到购物车,刷新页面后商品不会消失。但我们都知道HTTP 协议本身是无状态、无连接的,服务器根本 “记不住” 之前和哪个客户端打过交道。那么网站是如何识别我们身份的?这背后的核心技术就是CookieSession。本文将从 HTTP 无状态的本质出发,一步步拆解 Cookie 的工作原理、安全缺陷,再到 Session 的解决方案,并结合 C++ 源码带你从零实现一个基础的会话管理系统,彻底搞懂 Web 会

会当凌绝顶,一览众山小 3797

SpringBoot - Cookie & Session 用户登录及登录状态保持功能实现

定义Session (会话控制),Session 对象存储特定用户会话所需的属性及配置信息SessionID:客户端第一次请求服务器时,服务器为客户端算出的一个值,存储在 Cookie 中,用于定位用户 Session 在服务器中的位置与 Cookie 的区别:Cookie 可以通过伪造来实现登录并进行一些 HTTP 请求,从安全性上来讲,SessionCookie 安全性稍微高一些功能:提高安全性有效期:一般为半小时,可以根据需求设定缺点。

2509_93930114的博客 844

Session && Cookie

1.有状态和无状态的区别 有状态就是有数据存储功能。有状态对象(Stateful Bean),就是有实例变量的对象,可以保存数据,是非线程安全的。在不同方法调用间不保留任何状态。 无状态就是一次操作,不能保存数据。无状态对象(Stateless Bean),就是没有实例变量的对象.不能保存数据,是不变类,是线程安全的。 2.jsp内置对象Session 2.1 常用的方法 2.2 使用session保存用户名 //将用户名保存到session对象...

weixin_57287269的博客 827

亲爱的 CookieSession

Cookie 是存储在用户浏览器中的小型数据,便于在后续请求中携带信息,适合存储少量非敏感数据,但安全性较低且大小有限(通常不超过 4KB)。 Session 是服务器为特定用户创建的临时存储空间,存储用户状态信息,安全性较高且没有大小限制。用户登录后,服务器生成一个 SessionId,并将其发送给客户端的 Cookie,但 Session 的有效期通常较短,容易因超时或服务器关闭而失效。 为了在分布式系统中管理状态,可以将 Session 存储在 Redis 或 MySQL 等第三方组件中,这样可以

Iced_Sheep的博客 945

关于Flask-Loginsession失效时间的处理

最近需要使用Python开发web系统,主要用到的框架就是Flask,前端使用Jinja2模板引擎和Bootstrap,web容器使用Cherrypy,其中关于Login管理的使用了Flask-Login插件。 基本上也是从零学起,前前后后花了有好几个月的时间,还是在借鉴了已有的一些项目基础上。在开发的过程中有很多的想法和体会,记录下来,有不对的地方欢迎大家指正。 在处理登录管理的部...

dihcapbz540030的博客 856

WebClient-SessionCookie

背景知识:SessionCookiehttp://blog.csdn.net/X_Craft/archive/2009/07/19/4361989.aspx WebClient不会保存http响应报文中的SetCookie,更不会设置下一次http请求报文的Cookie,通过HTTP分析工具可以观察到这一点。也就是说两个WebClient调用之间不具有持续性。 在sessio

丰达在线的专栏 3944

登录界面的验证登录以及session的使用

登录界面的验证登录以及session的使用 一、实验要求 (1) 新建 login.jsp 页面,其中,包含登录所需用户名与密码字段、 以及提交(input)和重新填写按钮(reset);表单method="POST"、action="check.jsp"; (2) 新建 check.jsp 页面,要求验证 login.jsp 中所提交的用户名与密码是否正确, 默认(username=张三, 密码=123456); 如果正确,则在 session 中存储用户信息 username=张三,并跳转到 adm

code袁的博客 5242

stable diffusion webui 登录接口(login)api接口调用(使用C#)

2、添加以下代码到你的项目中,直接运行即可,请求的是本地运行的接口,如下的【http://127.0.0.1:7860/sdapi/v1/login】,需要替换为读者自己的路径。如下图所示的方式,进行开启即可。注:这里只设置–api-auth的密码是无效了,login接口,是用于ui页面登录的,原有代码是没有api-auth接口返回token的。5、通过debug看响应体,可以发现在cookies中是有token的,这个时候,通过获取cookies中的token,即可达到目的,如下图。

qq_40600379的博客 1万+

Session实现用户登录(自动登录,及关闭浏览器重新打开)已修改

Session用于记录用户的状态。Session指的是在一段时间内,单个客户端与Web服务器的一连串相关的交互过程。在一个Session中,客户可能会多次请求访问同一个资源,也有可能请求访问各种不同的服务器资源。

afeifu的博客 2101

架构--网络关键指标公式

架构–网络关键指标公式 一、经典公式1:估算系统的平均并发用户数和并发用户数峰值 1.1、公式 1.1.1、平均并发用户数 C = nL/T 参数说明–C 平均并发用户数,通过计算出来的 参数说明–n login session的数量,也就是 平均每天访问用户数 参数说明–L 是login session的平均长度,也就是 一天内用户从登录到退出的平均时间(操作平均时间),单位小时 参数说明–T 是值考察的时间长度,也就是 在一天的时间内,一天内多长时间有用户使用系统,单位小时。 1.1.2、并发用户数

zhou920786312的博客 2600

CookieSession的区别

1、存储位置不同 cookie的数据信息存放在客户端浏览器上。 session的数据信息存放在服务器上。 2、存储容量不同 单个cookie保存的数据<=4KB,一个站点最多保存20个Cookie。 对于session来说并没有上限,但出于对服务器端的性能考虑,session内不要存放过多的东西,并且设置session删除机制。 3、存储方式不同 cookie中只能保...

aqx63777的博客 267

session实现用户登陆功能

<link href="https://csdnimg.cn/public/favicon.ico" rel="SHORTCUT ICON"> <title>session实现用户登陆功能 - C. - CSDN博客</title&gt...

JavaDarren的博客 7958

Java JDK1.8帮助文档。

Java JDK1.8帮助文档。

上一篇: http无状态设计与Cookie和Session
下一篇: JDBC与Hibernate
viewcode
博客等级 码龄15年 993粉丝 108原创
评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值