cookie一��步

Sheppard Y — Thu, 16 Jan 2014 03:54:00 GMT

2016-07-11 日更�?nbsp;

此篇博客已经�q�移到新博客�Q��ƈ做行文检查和优化排版�Q?br />

http://blog.clawz.me/2014/01/16/14-a-step-to-cookie/

一、怎么�U�结上的

�q�期在准备借鉴云风的skynet来完善我们的架构。这个cookie研究是个插曲�?/div>

我这有个http server只做与数据库的代理接口用�Q�同事那�Ҏ��个http的web server�Q�他的server需要以http client�w�䆾来访问我的server取数据�?/div>

我的server用的express�Q�访问流�E��ؓ先去一个path验证�Q�验证完�Q�这个http client��可以访问其他path了。验证的时候会标记client对应的session为已验证�Q�之后的每次讉K��会检查这个标记�?/div>

二、对cookie的认识加�׃��?/div>

�q�里的cookie��程是这��L��Q�验证之后，server会在response的headers里设�|�上“set-cookie”的��|��接下来的request需要带上这个cookie�Q�否则server认�ؓ�q�个client没有被验证�?/div>

�W�二�ơrequest的response里可能会�l�设�|�新的cookie�Q�第三次request需要带上第二次respones讄��的cookie……

�q�样��是每次讉K��带上上次�q�回的cookie�Q�server才会认�ؓ你这�ơ的讉K��启用的client已经被验证过�?/div>

nodejs里的http.request默认是不会捎上cookie的，所以得自己��装下�?/div>

三、ps

cookie的wikipedia�Q?a >http://en.wikipedia.org/wiki/HTTP_cookie#Implementation

cookie以前做模拟登陆时有想研究�q�，那时对http完全不了解，加上其他的事情，�l�放弃了。这�ơ�ȝ��E�微留个感性认识了�?/div>

�q�里写的�׃��八糟的，回头有空再完善这��吧�?/div>

同一个站点的cookie不一定只是登陆够�l�的那个�Q�而且cookie也不局限于用于登陆标记。例如登陆后��览好久�Q�开始启用某个功能需要做标记�Q�cookie字段��动态增加了。�ؓ此在�l�node.js的http.request��装的维护cookie的agent后来修改了�?/div>

�q�些内容在《Http权威指南》里��很清楚�Q�经�怹�才是��道理�?/div>

Sheppard Y 2014-01-16 11:54 发表评论

Sheppard Y — Fri, 10 Jan 2014 05:53:00 GMT

2016-07-11 日更�?nbsp;

此篇博客已经�q�移到新博客�Q��ƈ做行文检查和优化排版�Q?/span>

http://blog.clawz.me/2014/01/10/14-http-socket-auth-diff/

�q�是很基��的概念，之前没怎么弄过http。对于自己，��是做个�W�记吧�?/p>

一、socket安全验证

socket链接是握手之后就一直连着�Q�所以这条链接在�W�一包验证之后，之后�q�条链接不需要再验证�?#8220;�W�一个包”可能描述不准��，因�ؓ有时候第一包不一定就验证�Q�可能是做�\�׃��c�R��这里就不管�q�种情况了，只管�W�一个包直接验证的情��c�?br />

可以理解为server接受到client的链接，�q�且验证通过�Q�如用户及密码对了）�q�个client链接后。以后这个client发过来的包，server都直接做逻辑处理而不再需要做验证链接合法性。这个信��L��直到链接断开的�?br />

如果非法客户端来模拟登陆�Q�至��需要得到有效的id及密码，�q�已�l�是密码自��n安全的事情，不涉及这里谈的链接安全性�?br />

如果非法客户端用正确的id及密码登陆后�Q�发些非法包�Q�这里的包验证应该是服务器上包处理时的包��查及逻辑��查的事，��是通常的游戏说的防��P��包频率、包里数据的合法范围�{�）�?/p>

二、http的安全验�?/p>

�q�里只关心http的短�q�接�?br />

短连接就是每�ơ徏立链�?发包-断开。同一client的前后两�ơ发到server的包�Q�也相当于独立的两次�Q�同一client的验证就需要每个http��h��都要验证下。于是有了session和cookie。cookie是将client的标识放在client端，常用于server没有账户密码验证的方式。这里不讨论cookie�?br />

server在第一个http��h��验证client后，�l�他分配一个session。这个session��单的可以理解为server和client�U�定的一个client凭证�Q�有有效期）。之后client在每个请求里加上�q�个session里规定的��|��例如一个合适长度的随机字符丌Ӏ?br />

�q�里的session不能有让恶意用户很容易破解的规律�Q�例如用��L��id之类的。所以上�Ҏ��到随机字�W�串之类的�?nbsp;

Sheppard Y 2014-01-10 13:53 发表评论

亚洲男人的天堂在线观看,欧美在线国产,夜夜嗨av色一区二区不卡

cookie一���步

cookie一��步