老生常谈session,cookie的区别，安全性

系统管理员 2022-09-17 15:16 136阅读 0赞

# 老生常谈session,cookie的区别，安全性 #

张映 发表于 2010-07-25

分类目录： [php][]

一，为什么session,cookie经常会有人提到

做web开发的人基本上都会用session和cookie，但是仅仅只是会用，并不知道session和cookie的真正的工作原理，都只是凭着感觉来猜测。web开发者只要利用它们来完成工作就行了，所以每个人的理解基本都会有大同小异，我想这就是session，cookie经常会被讨论的原因。本文也是根据个人经验，以及个人所学，对session,cookie的一些看法，纯属个人见解，希望得到大家的更正和建议。

二，什么cookie

cookie分为二种

1，以文件方式存在硬盘空间上的长期性的cookie

2，停留在浏览器所占内存中的临时性的cookie

浏览网站时，你会经常发现网站登录的地方，会有提示，问你是不是要记住自己的登录状态，像这种情况，登录时填写的一些信息会被以文件的方式存放在客户端的硬盘上。

当用户登录后，session会在cookie端产生一个session\_id，这个session\_id是存于浏览器所占用的内存当中。当你关闭浏览器后，session\_id也要消失了。

cookie采用的是在客户端保持状态的方案，它是客户端的会话状态的一种储存机制。它是服务器在本地机器上存储的小段文本或者是内存中的一段数据，并随每一个请求发送至同一个服务器。IETF RFC 2965 HTTP State Management Mechanism 是通用cookie规范。网络服务器用HTTP头信息向客户端发送cookies，在客户终端，浏览器解析这些cookies并将它们保存为一个本地文件，或者本地内存中数据，它会自动将同一服务器的任何请求缚上这些cookies，由于采用服务器端保持状态的方案在客户端也需要保存一个标识，所以session机制借助于cookie机制来达到保存标识的目的，这样就可以解决HTTP协议无状态的缺陷。

三，什么是session

session是一种服务器端的信息管理机制，它把这些文件信息以文件的形势存放在服务器的硬盘空间上，这种情况是默认的，可以用memcache把这种数据放到内存里面。请参考[web集群时利用memcache来同步session][web_memcache_session]

当客户端向服务器发出请求时，要求服务器端产生一个session时，服务器端会先检查一下，客户端的cookie里面有没有session\_id，是否已经过期。如果有这样的session\_id的话，服务器端会根据cookie里的session\_id把服务器的session检索出来。如果没有这样的session\_id的话，服务器端会重新建立一个。PHPSESSID是一串加了密的字符串，它的生成按照一定的规则来执行。同一客户端启动二次session\_start的话，session\_id是不一样的。

<table style="margin:5px 0px; padding:0px 0px 0px 30px; border:1px ridge rgb(178,178,178); outline:0px; font-size:13px; vertical-align:baseline; border-collapse:collapse; border-spacing:0px"> 
 <tbody style="margin:0px; padding:0px; border:0px; outline:0px; vertical-align:baseline"> 
 <tr style="margin:0px; padding:0px; border:0px; outline:0px; vertical-align:baseline"> 
 <td style="margin:0px; padding:3px; border:1px ridge rgb(178,178,178); outline:0px; font-size:13px; vertical-align:baseline"> Host</td> 
 <td style="margin:0px; padding:3px; border:1px ridge rgb(178,178,178); outline:0px; font-size:13px; vertical-align:baseline"> <code style="margin:0px; padding:0px; border:0px; outline:0px; vertical-align:baseline; background-color:rgb(204,204,204)">*****************.com</code></td> 
 </tr> 
 <tr style="margin:0px; padding:0px; border:0px; outline:0px; vertical-align:baseline"> 
 <td style="margin:0px; padding:3px; border:1px ridge rgb(178,178,178); outline:0px; font-size:13px; vertical-align:baseline"> User-Agent</td> 
 <td style="margin:0px; padding:3px; border:1px ridge rgb(178,178,178); outline:0px; font-size:13px; vertical-align:baseline"> <code style="margin:0px; padding:0px; border:0px; outline:0px; vertical-align:baseline; background-color:rgb(204,204,204)">Mozilla/5.0 (X11; U; Linux i686; zh-CN; rv:1.9.2.6) Gecko/20100625 Firefox/3.6.6</code></td> 
 </tr> 
 <tr style="margin:0px; padding:0px; border:0px; outline:0px; vertical-align:baseline"> 
 <td style="margin:0px; padding:3px; border:1px ridge rgb(178,178,178); outline:0px; font-size:13px; vertical-align:baseline"> Accept</td> 
 <td style="margin:0px; padding:3px; border:1px ridge rgb(178,178,178); outline:0px; font-size:13px; vertical-align:baseline"> <code style="margin:0px; padding:0px; border:0px; outline:0px; vertical-align:baseline; background-color:rgb(204,204,204)">text/css,*/*;q=0.1</code></td> 
 </tr> 
 <tr style="margin:0px; padding:0px; border:0px; outline:0px; vertical-align:baseline"> 
 <td style="margin:0px; padding:3px; border:1px ridge rgb(178,178,178); outline:0px; font-size:13px; vertical-align:baseline"> Accept-Language</td> 
 <td style="margin:0px; padding:3px; border:1px ridge rgb(178,178,178); outline:0px; font-size:13px; vertical-align:baseline"> <code style="margin:0px; padding:0px; border:0px; outline:0px; vertical-align:baseline; background-color:rgb(204,204,204)">zh-cn,zh;q=0.5</code></td> 
 </tr> 
 <tr style="margin:0px; padding:0px; border:0px; outline:0px; vertical-align:baseline"> 
 <td style="margin:0px; padding:3px; border:1px ridge rgb(178,178,178); outline:0px; font-size:13px; vertical-align:baseline"> Accept-Encoding</td> 
 <td style="margin:0px; padding:3px; border:1px ridge rgb(178,178,178); outline:0px; font-size:13px; vertical-align:baseline"> <code style="margin:0px; padding:0px; border:0px; outline:0px; vertical-align:baseline; background-color:rgb(204,204,204)">gzip,deflate</code></td> 
 </tr> 
 <tr style="margin:0px; padding:0px; border:0px; outline:0px; vertical-align:baseline"> 
 <td style="margin:0px; padding:3px; border:1px ridge rgb(178,178,178); outline:0px; font-size:13px; vertical-align:baseline"> Accept-Charset</td> 
 <td style="margin:0px; padding:3px; border:1px ridge rgb(178,178,178); outline:0px; font-size:13px; vertical-align:baseline"> <code style="margin:0px; padding:0px; border:0px; outline:0px; vertical-align:baseline; background-color:rgb(204,204,204)">UTF-8,*</code></td> 
 </tr> 
 <tr style="margin:0px; padding:0px; border:0px; outline:0px; vertical-align:baseline"> 
 <td style="margin:0px; padding:3px; border:1px ridge rgb(178,178,178); outline:0px; font-size:13px; vertical-align:baseline"> Keep-Alive</td> 
 <td style="margin:0px; padding:3px; border:1px ridge rgb(178,178,178); outline:0px; font-size:13px; vertical-align:baseline"> <code style="margin:0px; padding:0px; border:0px; outline:0px; vertical-align:baseline; background-color:rgb(204,204,204)">115</code></td> 
 </tr> 
 <tr style="margin:0px; padding:0px; border:0px; outline:0px; vertical-align:baseline"> 
 <td style="margin:0px; padding:3px; border:1px ridge rgb(178,178,178); outline:0px; font-size:13px; vertical-align:baseline"> Connection</td> 
 <td style="margin:0px; padding:3px; border:1px ridge rgb(178,178,178); outline:0px; font-size:13px; vertical-align:baseline"> <code style="margin:0px; padding:0px; border:0px; outline:0px; vertical-align:baseline; background-color:rgb(204,204,204)">keep-alive</code></td> 
 </tr> 
 <tr style="margin:0px; padding:0px; border:0px; outline:0px; vertical-align:baseline"> 
 <td style="margin:0px; padding:3px; border:1px ridge rgb(178,178,178); outline:0px; font-size:13px; vertical-align:baseline"> Referer</td> 
 <td style="margin:0px; padding:3px; border:1px ridge rgb(178,178,178); outline:0px; font-size:13px; vertical-align:baseline"> <code style="margin:0px; padding:0px; border:0px; outline:0px; vertical-align:baseline; background-color:rgb(204,204,204)">http://***************.com/</code></td> 
 </tr> 
 <tr style="margin:0px; padding:0px; border:0px; outline:0px; vertical-align:baseline"> 
 <td style="margin:0px; padding:3px; border:1px ridge rgb(178,178,178); outline:0px; font-size:13px; vertical-align:baseline"> Cookie</td> 
 <td style="margin:0px; padding:3px; border:1px ridge rgb(178,178,178); outline:0px; font-size:13px; vertical-align:baseline"> <code style="margin:0px; padding:0px; border:0px; outline:0px; vertical-align:baseline">BX=7f34kbl5d3m3g&amp;b=3&amp;s=9t; AWSUSER_ID=awsuser_id1267685109158r8091;PHPSESSID=us1o22h4iveo4uni3iksab</code><code style="margin:0px; padding:0px; border:0px; outline:0px; vertical-align:baseline">reh4</code></td> 
 </tr> 
 <tr style="margin:0px; padding:0px; border:0px; outline:0px; vertical-align:baseline"> 
 <td style="margin:0px; padding:3px; border:1px ridge rgb(178,178,178); outline:0px; font-size:13px; vertical-align:baseline"> If-Modified-Since</td> 
 <td style="margin:0px; padding:3px; border:1px ridge rgb(178,178,178); outline:0px; font-size:13px; vertical-align:baseline"> <code style="margin:0px; padding:0px; border:0px; outline:0px; vertical-align:baseline; background-color:rgb(204,204,204)">Tue, 29 Jun 2010 07:55:38 GMT</code></td> 
 </tr> 
 </tbody> 
</table>

上面是一次请求的头信息。

**session产生的session\_id放在cookie里面**，如果用户把cookie禁止掉，是不是session也不能用了呢？禁止掉cookie后，session当然可以用，不过通过其他的方式来获得这个sessionid，比如，可以根在url的后面，或者以表单的形势提交到服务器端。从而使服务器端了解客户端的状态。

四，session和cookie谁更安全

就个人而言，我觉得session更安全一点，我以下几点看法。

1，如果session和cookie一样安全的话，二者就没有并要同时存在了，只要cookie就好了，让客户端来分提服务器的负担，并且对于用户来说又是透明的。何乐而不为呢。

2，session的sessionID是放在cookie里，要想功破session的话，第一要功破cookie。功破cookie后，你要得到 sessionID,sessionID是要有人登录，或者启动session\_start才会有，你不知道什么时候会有人登录。第二，sessionID是加密的，第二次session\_start的时候，前一次的sessionID就没有用了，session过期时sessionid也会失效，想在短时间内功破加了密的 sessionID很难。session是针对某一次通信而言，会话结束session也就随着消失了，而真正的cookie存在于客户端硬盘上的一个文本文件，谁安全很显然了。

3，如果session这么容易被功破，这么不安全的话，我想现有的绝大部分网站都不安全了。

# 老生常谈session,cookie的区别，安全性 #

张映 发表于 2010-07-25

分类目录： [php][]

**一，为什么session,cookie经常会有人提到**

**二，什么cookie**

cookie分为二种

1，以文件方式存在硬盘空间上的长期性的cookie

2，停留在浏览器所占内存中的临时性的cookie

当用户登录后，session会在cookie端产生一个session\_id，这个session\_id是存于浏览器所占用的内存当中。当你关闭浏览器后，session\_id也要消失了。

**三，什么是session**

<table style="margin:5px 0px; padding:0px 0px 0px 30px; border:1px ridge rgb(178,178,178); outline:0px; font-size:13px; vertical-align:baseline; border-collapse:collapse; border-spacing:0px"> 
 <tbody style="margin:0px; padding:0px; border:0px; outline:0px; vertical-align:baseline"> 
 <tr style="margin:0px; padding:0px; border:0px; outline:0px; vertical-align:baseline"> 
 <td style="margin:0px; padding:3px; border:1px ridge rgb(178,178,178); outline:0px; font-size:13px; vertical-align:baseline"> Host</td> 
 <td style="margin:0px; padding:3px; border:1px ridge rgb(178,178,178); outline:0px; font-size:13px; vertical-align:baseline"> <code style="margin:0px; padding:0px; border:0px; outline:0px; vertical-align:baseline; background-color:rgb(204,204,204)">*****************.com</code></td> 
 </tr> 
 <tr style="margin:0px; padding:0px; border:0px; outline:0px; vertical-align:baseline"> 
 <td style="margin:0px; padding:3px; border:1px ridge rgb(178,178,178); outline:0px; font-size:13px; vertical-align:baseline"> User-Agent</td> 
 <td style="margin:0px; padding:3px; border:1px ridge rgb(178,178,178); outline:0px; font-size:13px; vertical-align:baseline"> <code style="margin:0px; padding:0px; border:0px; outline:0px; vertical-align:baseline; background-color:rgb(204,204,204)">Mozilla/5.0 (X11; U; Linux i686; zh-CN; rv:1.9.2.6) Gecko/20100625 Firefox/3.6.6</code></td> 
 </tr> 
 <tr style="margin:0px; padding:0px; border:0px; outline:0px; vertical-align:baseline"> 
 <td style="margin:0px; padding:3px; border:1px ridge rgb(178,178,178); outline:0px; font-size:13px; vertical-align:baseline"> Accept</td> 
 <td style="margin:0px; padding:3px; border:1px ridge rgb(178,178,178); outline:0px; font-size:13px; vertical-align:baseline"> <code style="margin:0px; padding:0px; border:0px; outline:0px; vertical-align:baseline; background-color:rgb(204,204,204)">text/css,*/*;q=0.1</code></td> 
 </tr> 
 <tr style="margin:0px; padding:0px; border:0px; outline:0px; vertical-align:baseline"> 
 <td style="margin:0px; padding:3px; border:1px ridge rgb(178,178,178); outline:0px; font-size:13px; vertical-align:baseline"> Accept-Language</td> 
 <td style="margin:0px; padding:3px; border:1px ridge rgb(178,178,178); outline:0px; font-size:13px; vertical-align:baseline"> <code style="margin:0px; padding:0px; border:0px; outline:0px; vertical-align:baseline; background-color:rgb(204,204,204)">zh-cn,zh;q=0.5</code></td> 
 </tr> 
 <tr style="margin:0px; padding:0px; border:0px; outline:0px; vertical-align:baseline"> 
 <td style="margin:0px; padding:3px; border:1px ridge rgb(178,178,178); outline:0px; font-size:13px; vertical-align:baseline"> Accept-Encoding</td> 
 <td style="margin:0px; padding:3px; border:1px ridge rgb(178,178,178); outline:0px; font-size:13px; vertical-align:baseline"> <code style="margin:0px; padding:0px; border:0px; outline:0px; vertical-align:baseline; background-color:rgb(204,204,204)">gzip,deflate</code></td> 
 </tr> 
 <tr style="margin:0px; padding:0px; border:0px; outline:0px; vertical-align:baseline"> 
 <td style="margin:0px; padding:3px; border:1px ridge rgb(178,178,178); outline:0px; font-size:13px; vertical-align:baseline"> Accept-Charset</td> 
 <td style="margin:0px; padding:3px; border:1px ridge rgb(178,178,178); outline:0px; font-size:13px; vertical-align:baseline"> <code style="margin:0px; padding:0px; border:0px; outline:0px; vertical-align:baseline; background-color:rgb(204,204,204)">UTF-8,*</code></td> 
 </tr> 
 <tr style="margin:0px; padding:0px; border:0px; outline:0px; vertical-align:baseline"> 
 <td style="margin:0px; padding:3px; border:1px ridge rgb(178,178,178); outline:0px; font-size:13px; vertical-align:baseline"> Keep-Alive</td> 
 <td style="margin:0px; padding:3px; border:1px ridge rgb(178,178,178); outline:0px; font-size:13px; vertical-align:baseline"> <code style="margin:0px; padding:0px; border:0px; outline:0px; vertical-align:baseline; background-color:rgb(204,204,204)">115</code></td> 
 </tr> 
 <tr style="margin:0px; padding:0px; border:0px; outline:0px; vertical-align:baseline"> 
 <td style="margin:0px; padding:3px; border:1px ridge rgb(178,178,178); outline:0px; font-size:13px; vertical-align:baseline"> Connection</td> 
 <td style="margin:0px; padding:3px; border:1px ridge rgb(178,178,178); outline:0px; font-size:13px; vertical-align:baseline"> <code style="margin:0px; padding:0px; border:0px; outline:0px; vertical-align:baseline; background-color:rgb(204,204,204)">keep-alive</code></td> 
 </tr> 
 <tr style="margin:0px; padding:0px; border:0px; outline:0px; vertical-align:baseline"> 
 <td style="margin:0px; padding:3px; border:1px ridge rgb(178,178,178); outline:0px; font-size:13px; vertical-align:baseline"> Referer</td> 
 <td style="margin:0px; padding:3px; border:1px ridge rgb(178,178,178); outline:0px; font-size:13px; vertical-align:baseline"> <code style="margin:0px; padding:0px; border:0px; outline:0px; vertical-align:baseline; background-color:rgb(204,204,204)">http://***************.com/</code></td> 
 </tr> 
 <tr style="margin:0px; padding:0px; border:0px; outline:0px; vertical-align:baseline"> 
 <td style="margin:0px; padding:3px; border:1px ridge rgb(178,178,178); outline:0px; font-size:13px; vertical-align:baseline"> Cookie</td> 
 <td style="margin:0px; padding:3px; border:1px ridge rgb(178,178,178); outline:0px; font-size:13px; vertical-align:baseline"> <code style="margin:0px; padding:0px; border:0px; outline:0px; vertical-align:baseline">BX=7f34kbl5d3m3g&amp;b=3&amp;s=9t; AWSUSER_ID=awsuser_id1267685109158r8091;PHPSESSID=us1o22h4iveo4uni3iksab</code><code style="margin:0px; padding:0px; border:0px; outline:0px; vertical-align:baseline">reh4</code></td> 
 </tr> 
 <tr style="margin:0px; padding:0px; border:0px; outline:0px; vertical-align:baseline"> 
 <td style="margin:0px; padding:3px; border:1px ridge rgb(178,178,178); outline:0px; font-size:13px; vertical-align:baseline"> If-Modified-Since</td> 
 <td style="margin:0px; padding:3px; border:1px ridge rgb(178,178,178); outline:0px; font-size:13px; vertical-align:baseline"> <code style="margin:0px; padding:0px; border:0px; outline:0px; vertical-align:baseline; background-color:rgb(204,204,204)">Tue, 29 Jun 2010 07:55:38 GMT</code></td> 
 </tr> 
 </tbody> 
</table>

上面是一次请求的头信息。

session产生的session\_id放在cookie里面，如果用户把cookie禁止掉，是不是session也不能用了呢？禁止掉cookie后，session当然可以用，不过通过其他的方式来获得这个sessionid，比如，可以根在url的后面，或者以表单的形势提交到服务器端。从而使服务器端了解客户端的状态。

**四，session和cookie谁更安全**

就个人而言，我觉得session更安全一点，我以下几点看法。

3，如果session这么容易被功破，这么不安全的话，我想现有的绝大部分网站都不安全了。

[php]: http://blog.51yip.com/category/php
[web_memcache_session]: http://blog.51yip.com/php/931.html