专题：session -- IT技术博客大学习 -- 共学习共进步！

能把session改成cookie，就能避开session的一些弊端，在从前看的一本J2EE的书上，也指明在集群系统中不能用session，否则惹出祸端来就不好办。如果系统不复杂，就优先考虑能否将session去掉，改动起来非常麻烦的话，再用下面的办法。

cookie窃取和session劫持

如果偷取cookie失败，无法session劫持，攻击者如何再发起攻击？劫持session的目的是拿到登录态，从而获得服务器授权做很多请求，例如账户变更。如果劫持不到session，也能够做授权请求不是也达到攻击的目的了？无需拿到session cookie，跨站发起请求就可以了，这就是CSRF！server通过把用户凭证存储在cookie以维持session，http/https协议每次访问都会自动传输cookie，协议上的缺陷是导致可进行CSRF攻击的根本原因！防御方式：使用anti-forgery token。

深入浅出Session攻击方式之一 – 固定会话ID

这种攻击方式的核心要点就是让合法用户使用攻击者预先设定的session ID来访问被攻击的应用程序，一旦用户的会话ID被成功固定，攻击者就可以通过此session id来冒充用户访问应用程序(只要该session id还是有效的，也就是没有被系统重新生成或者销毁)。通过这种方式，攻击者就不需要捕获用户的Session id(该种方式难度相对稍大)。

Php session内部执行流程的再次剖析

近期再次分析了php session内部的执行流程，我将在这篇文章中简要地概括出php内部关于session的执行步骤。

浅析http协议、cookies和session机制、浏览器缓存

最近几天在复习http协议中headers，cookies、session、缓存等相关知识，发现些新知识点。这篇文章注重结合PHP去理解这些内容，也就是比较注重实践部分。

你必须了解的Session的本质

有一点我们必须承认，大多数web应用程序都离不开session的使用。这篇文章将会结合php以及http协议来分析如何建立一个安全的会话管理机制。我们先简单的了解一些http的知识，从而理解该协议的无状态特性。然后，学习一些关于cookie的基本操作。最后，我会一步步阐述如何使用一些简单，高效的方法来提高你的php应用程序的安全性以及稳定行。

如何设置一个严格30分钟过期的Session

今天在我的微博(Laruence)上发出一个问题: 我在面试的时候, 经常会问一个问题: \"如何设置一个30分钟过期的Session?\", 大家不要觉得看似简单, 这里面包含的知识多着呢, 特别适合考察基本功是否扎实, 谁来回答试试? 呵呵为什么问这个问题呢? 1. 我在Twitter上看到了有人讨论这个

在Express和Socket.IO中使用session

在nodejs项目中对于一些认证需要用到session，例如我写的nodejs 聊天室的demo，就是通过session实现的认证。当存在session，直接进入聊天室，而不会重新登录。在网上也找到不少关于Express框架中的session调用方法，可是发现真正能用的不是很多，今天根据聊天室的制作过程，整理下Express和socket.IO中使用session的具体方法。 Express的session是通过cookie实现的，用到了connect中的两个module：parseCookie和MemoryStore，前者...

PHP Session学习笔记

在web开发中，session是个非常重要的概念。Session一般译作会话，Session是一种基于HTTP协议的用以增强web应用能力的机制或者说一种方案，它不是单指某种特定的动态页面技术，而这种能力就是保持状态，也可以称作保持会话。在许多动态网站的开发者看来，session就是一个变量，而且其表现像个黑洞，他只需要将东西在合适的时机放进这个洞里，等需要的时候再把东西取出来。这是开发者对session最直观的感受，但是黑洞里的景象或者说...

IFrame带来的Session问题

客户原来有个Web App系统A，我们要基于A开发一个系统B，但不希望B对A依赖太重，所以B被实现为一个独立的Web App（war）。A和B部署在同一个Weblogic server上，在A中可以导航到B，两个系统看起来像是一个系统。有个小需求是，在B中希望显示一个页面，根据参数能展示出不同的信息。这个页面在A中已经存在，所以自然而然最快的方法就是在B中创建一个iframe来指向那个A中的页面，配以不同的参数，多快好省！问题很快出来了，QA发现那...

深入理解PHP原理之Session Gc的一个小概率Notice

如果在ubuntu下, 采用apt安装的PHP, 那么在使用Session的时候, 就可能会有小概率遇到这个提示. PHP Notice: session_start(): ps_files_cleanup_dir: opendir(/var/lib/php5) failed: Permission denied (13) in /home/laruence/www/htdocs/index.php on line 22

(oracle)11g与10g中alter session权限差异

PHP Session的一个警告

警告全文如下: PHP Warning: Unknown: Your script possibly relies on a session side-effect which existed until PHP 4.2.3. Please be advised that the session extension does not consider global variables as a source of data, unless register_globals is enabled. You can disable this functionality and this warning by setting session.bug_compat_42 or session.bug_compat_warn to off, respectively. in Unk...

关于session和memcache的若干问题

一直以来,由于php本身的session机制不能跨机,令很多phper感到不爽,现在流行的解决方案主要有:1)使用数据库来实现2)自己写server端,通过改写session处理函数来请求3)使用nfs等跨机存储来保存session4)使用memcache来保存5)使用zend platform提供的解决方案其中的1-4都是通过改用可以跨机的储存机制,再使用session_set_save_handler()来实现,5是zend公司的商业产品(不过据之前在使用的同事反映,效果不太满意),以上的方案,各有利弊,不...