cookie与token

秒速五厘米 2023-08-17 15:54 134阅读 0赞

**cookie：**

登陆后后端生成一个sessionid放在cookie中返回给客户端，并且服务端一直记录着这个sessionid，客户端以后每次请求都会带上这个sessionid，

服务端通过这个sessionid来验证身份之类的操作。所以别人拿到了cookie拿到了sessionid后，就可以完全替代你。

举个栗子：服务员看你的身份证，给你一个编号，以后，进行任何操作，都出示编号后服务员去看查你是谁。

**token：**

登陆后后端不返回一个token给客户端，客户端将这个token存储起来，然后每次客户端请求都需要开发者手动将token放在header中带过去，

服务端每次只需要对这个token进行验证就能使用token中的信息来进行下一步操作了。

举个栗子：直接给服务员看自己身份证

**xss：**

用户通过各种方式将恶意代码注入到其他用户的页面中。就可以通过脚本获取信息，发起请求，之类的操作。

劫持cookie或者localStorage，从而伪造用户身份相关信息。前端层面token会存在哪儿？

不外乎cookie localStorage sessionStorage,这些东西都是通过js代码获取到的。

解决方案：过滤标签<>,不信任用户输入， 对用户身份等cookie层面的信息进行http-only处理。

**csxf：　**

跨站请求攻击，简单地说，是攻击者通过一些技术手段欺骗用户的浏览器去访问一个自己曾经认证过的网站并运行一些操作（如发邮件，发消息，甚至财产操作如转账和购买商品）。

由于浏览器曾经认证过，所以被访问的网站会认为是真正的用户操作而去运行。

这利用了web中用户身份验证的一个漏洞：简单的身份验证只能保证请求发自某个用户的浏览器，却不能保证请求本身是用户自愿发出的。

csrf并不能够拿到用户的任何信息，它只是欺骗用户浏览器，让其以用户的名义进行操作。

举个栗子：假如一家银行用以运行转账操作的URL地址如下： [http://www.examplebank.com/withdraw?account=AccoutName&amount=1000&for=PayeeName][http_www.examplebank.com_withdraw_account_AccoutName_amount_1000_for_PayeeName]

*　　*那么，一个恶意攻击者可以在另一个网站上放置如下代码： `<img src="<http://www.examplebank.com/withdraw?account=Alice&amount=1000&for=Badman>">`

如果有账户名为Alice的用户访问了恶意站点，而她之前刚访问过银行不久，登录信息尚未过期，那么她就会损失1000资金。

上面的两种攻击方式，如果被xss攻击了，不管是token还是cookie，都能被拿到，所以对于xss攻击来说，cookie和token没有什么区别。但是对于csrf来说就有区别了。

以上面的csrf攻击为例：

*  cookie：用户点击了链接，cookie未失效，导致发起请求后后端以为是用户正常操作，于是进行扣款操作。
 *  token：用户点击链接，由于浏览器不会自动带上token，所以即使发了请求，后端的token验证不会通过，所以不会进行扣款操作。

转载于:https://www.cnblogs.com/wangxi01/p/11207930.html

[http_www.examplebank.com_withdraw_account_AccoutName_amount_1000_for_PayeeName]: http://www.examplebank.com/withdraw?account=AccoutName&amount=1000&for=PayeeName

发表评论取消回复

表情：

评论列表（有 0 条评论，134人围观）

还没有评论，来说两句吧...

相关阅读

相关 cookie与session区别(cookie与session区别 token)

cookie 和session 的区别详解二者的定义：当你在浏览网站的时候，WEB 服务器会先送一小小资料放在你的计算机上，Cookie 会帮你在网站上所打的文字或

矫情吗；*/ 2023年09月26日 13:11/ 0 赞/ 45 阅读

相关 cookie与token

cookie：　　登陆后后端生成一个sessionid放在cookie中返回给客户端，并且服务端一直记录着这个sessionid，客户端以后每次请求都会带上这个sessio

秒速五厘米/ 2023年08月17日 15:54/ 0 赞/ 135 阅读

相关 Session, Cookie, Token

Session, Cookie, Token HTTP是一个无状态协议无状态是指在客户端（Web浏览器）和服务器之间不需要建立持久的连接，客户端向服务端发送请求且

Dear 丶/ 2023年07月12日 03:38/ 0 赞/ 6 阅读

相关 Session，Cookie，Token

session，cookie和token究竟是什么简述 http是一个无状态协议什么是无状态呢？就是说这一次请求和上一次请求是没有任何关系的，互不认识的，没有关联

末蓝、/ 2023年01月06日 14:52/ 0 赞/ 188 阅读

相关 Cookie、Session、Token与JWT解析

> 作者：\_code\_x > 链接：https://www.jianshu.com/p/cab856c32222 认证、授权与凭证什么是认证（Authent

柔光的暖阳◎/ 2022年09月11日 15:30/ 0 赞/ 338 阅读

相关理解cookie与token（JWT）

文章目录理解cookie与token（JWT）基于cookie方式 JWT(Json Web Token)

约定不等于承诺〃/ 2022年08月31日 05:00/ 0 赞/ 240 阅读

相关 cookie session token

（此小段原创）看完之后的小结： cookie:客户端会话机制，cookie存储于浏览器的本地文件中 session:服务器会话机制，session存储于服务器，sess

￡神魔★判官ぃ/ 2022年05月14日 02:38/ 0 赞/ 258 阅读

相关 Token、Cookie、Session

转自：一只躲在角落里的小刺猬文章链接：http://jianshu.com/p/8ef0c5a551d3 在Web应用中，HTTP请求是无状态的。即：用户第

淩亂°似流年/ 2022年03月11日 08:42/ 0 赞/ 287 阅读

相关 cookie与token对比(转)

1、cookie(储存在用户本地终端上的数据( 为了辨别用户身份、进行 session 跟踪)) HTTP协议本身是无状态的，所以需要一个标志来对用户身份进行验证用户登录

客官°小女子只卖身不卖艺/ 2021年11月10日 14:14/ 0 赞/ 363 阅读

相关 Django-Cookie、Session与Token

会话技术 1、应用场景 > 服务器如何识别客户端 > Http在Web开发中基本都是短连接 2、请求生命周期 > 从Request开始 > 到Res

刺骨的言语ヽ痛彻心扉/ 2021年11月09日 04:24/ 0 赞/ 411 阅读