【总结】session & cookie的共同点以及优缺点

浅浅的花香味﹌ 2022-05-18 06:29 125阅读 0赞

**1、共同点**：  
      
    都是为了记录用户的状态。

**2、不同点：**  
    ①**在存储方面**：Cookie保存在客户端浏览器中，而Session保存在服务器上。Cookie中只能保管ASCII字符串，而Session中能够存取任何类型的数据。  
    ②**在生命周期方面**：cookie是通过maxAge设置过期时间。若设置了过期时间，浏览器就会把cookie保存到硬盘上，关闭后再次打开浏览器，这些cookie仍然有效直到超过设定的过期时间。Session在用户第一次访问服务器的时候自动创建。Session生成后, 只要用户继续访问，服务器就会更新Session的最后访问时间，并维护该Session。(有点类似缓存控制算法LRU) 为防止内存溢出，服务器会把长时间内没有活跃的Session从内存删除。这个时间就是Session的超时时间。如果超过了超时时间没访问过服务器，Session就自动失效了。  
    ③**依赖方面**：Session保存在服务器，对客户端是透明的，它的正常运行仍然需要客户端浏览器的支持。并且在识别是否是同一浏览器方面：服务器向客户端浏览器发送一个名为JSESSIONID的Cookie，Session依据该Cookie来识别是否为同一用户。  
    ④**隐私策略方面**：Cookie存储在客户端阅读器中，对客户端是可见的，客户端的一些程序可能会窥探、复制以至修正Cookie中的内容。而Session存储在服务器上，对客户端是透明的，不存在敏感信息泄露的风险。  
    ⑤**跨域支持上的不同**：Cookie支持跨域名访问，Session仅在他所在的域名内有效。  
**3、优点：**  
    一、**Cookie**  
        ①极高的扩展性和可用性。  
        ②可配置到期规则 Cookie 可以在浏览器会话结束时到期，或者可以在客户端计算机上无限期存在，这取决于客户端的到期规则。  
        ③不需要使用大量服务器资源，Cookie 存储在客户端并在发送后由服务器读取  
        ④简单性 Cookie 是一种基于文本的轻量结构，包含简单的键值对，结构简单  
    二、**Session**  
        ①易于读写的特性  
        ②易于站点的用户化

**4、缺点：**  
    一、Cookie  
        ①Cookie数量和长度的限制。每个domain最多只能有20条cookie，每个cookie长度不能超过4KB，否则会被截掉  
        ②潜在的安全风险 Cookie 可能会被篡改  
    二、Session  
        ①依托性。如果某用户将浏览器设置为不兼容任何cookie，那么该用户就无法使用这个Session变量  
        ②session会在一定时间内保存在服务器上。当访问增多，会比较占用较大的服务器性能  
** 5、一般的攻击方式**  
    一、Cookie  
        ①直接访问Cookie文件查找想要的机密信息；  
        ②在客户端和服务端进行Cookie信息传递时候进行截取，进而冒充合法用户进行操作；  
        ③. 攻击者修改Cookie信息，所以在服务端接收到客户端获取的Cookie信息的时候，就会对攻击者伪造过的Cookie信息进行操作  
        解决方案：  
            不要在Cookie中保存敏感信息；  
            不要在Cookie中保存没有经过加密的或者容易被解密的敏感信息；  
            对从客户端取得的Cookie信息进行严格校验；  
            使用SSL/TLS来传递Cookie信息。  
          
    二、Session  
        ①会话劫持（通过获取用户Session ID后，使用该Session ID登录目标账号的攻击方法）  
            解决方案： 使用User-Agent检测请求的一致性；设置HttpOnly，可以防止客户端脚本访问这个Cookie，从而有效的防止XSS攻击；关闭透明化Session ID；更改Session名称  
        ②会话固定（诱骗受害者使用攻击者指定的会话标识（Session ID）的攻击手段）  
            解决方案：用户登录时生成新的Session ID；以及上诉的一些解决方案