java servlet 中的 Servlet 会话数据答案

【问题标题】：Servlet session data in java servletjava servlet 中的 Servlet 会话数据
【发布时间】：2015-02-12 05:23:06
【问题描述】：

我注意到当 cookie 被禁用时，servlet 将会话数据编码为 URL（可见）。当有人窥探网络中的流量时，这不会打开攻击的可能性吗？另外，为什么不将它添加到数据部分并作为发布请求发送，以便可以使用https来提供安全性？

当登录成功时，我目前正在创建一个会话，并将用户 ID 存储在会话中，并将用户 ID 和会话 ID 的组合存储在数据库中。对于每个操作，我都在验证提供给存储在数据库中的会话 ID 和用户 ID 以及会话 ID。这是正确的做法吗？

【问题讨论】：

【解决方案1】：

会话 ID 是在 cookie 中还是在 URL 中都没有关系。如果有人查看网络流量，他可以在这两种情况下获取 id。

如果你想保护会话ID，https是唯一的方法。

而且 https 也保护 URL。

【讨论】：