w309400825 2019-01-17 10:06 采纳率: 0%
浏览 528

通过验证session是否过期来确定用户是否已通过登录验证的方式有哪些安全问题？

不过是C#还是php我之前的代码都是：用户通过账号密码登录，我验证正确之后把用户信息保存在session中，因为session的信息是和该用户绑定的，所以每次用户发送请求过来之后，我都判断session是否存储有用户信息，如果有，那么就是已登录状态的，给他处理接下来的请求，用户退出则清除session信息即可。
请问一下，使用这种方式来验证请求是否合法的方式有什么安全隐患吗？跟生成token的验证方相比式有哪些安全上的缺陷吗？

  • 写回答

3条回答 默认 最新

  • 临窗，听雨声 2019-01-17 10:31
    关注

    用户量大了之后 session 可能存不下，其实主要的还是不利于做分布式系统。比如说单点登录

    评论

报告相同问题？