每日一博 | 一文搞懂 Cookie、Session 与 Token
> 笔者文笔功力尚浅,如有不妥,请慷慨指出,必定感激不尽
Cookie
洛:大爷,楼上322住的是马冬梅家吧? 大爷:马都什么? 夏洛:马冬梅。 大爷:什么都没啊? 夏洛:马冬梅啊。 大爷:马什么没? 夏洛:行,大爷你先凉快着吧。
在了解这三个概念之前我们先要了解HTTP是无状态的Web服务器,什么是无状态呢?就像上面夏洛特烦恼中经典的一幕对话一样,一次对话完成后下一次对话完全不知道上一次对话发生了什么。如果在Web服务器中只是用来管理静态文件还好说,对方是谁并不重要,把文件从磁盘中读取出来发出去即可。但是随着网络的不断发展,比如电商中的购物车只有记住了用户的身份才能够执行接下来的一系列动作。所以此时就需要我们无状态的服务器记住一些事情。
那么Web服务器是如何记住一些事情呢?既然Web服务器记不住东西,那么我们就在外部想办法记住,相当于服务器给每个客户端都贴上了一个小纸条。上面记录了服务器给我们返回的一些信息。然后服务器看到这张小纸条就知道我们是谁了。那么Cookie
是谁产生的呢?Cookies是由服务器产生的。接下来我们描述一下Cookie
产生的过程
- 浏览器第一次访问服务端时,服务器此时肯定不知道他的身份,所以创建一个独特的身份标识数据,格式为
key=value
,放入到Set-Cookie
字段里,随着响应报文发给浏览器。 - 浏览器看到有
Set-Cookie
字段以后就知道这是服务器给的身份标识,于是就保存起来,下次请求时会自动将此key=value
值放入到Cookie
字段中发给服务端。 - 服务端收到请求报文后,发现
Cookie
字段中有值,就能根据此值识别用户的身份然后提供个性化的服务。
接下来我们用代码演示一下服务器是如何生成,我们自己搭建一个后台服务器,这里我用的是SpringBoot搭建的,并且写入SpringMVC的代码如下。
@RequestMapping("/testCookies") public String cookies(HttpServletResponse response){ response.addCookie(new Cookie("testUser","xxxx")); return "cookies"; }
项目启动以后我们输入路径http://localhost:8005/testCookies
,然后查看发的请求。可以看到下面那张图使我们首次访问服务器时发送的请求,可以看到服务器返回的响应中有Set-Cookie
字段。而里面的key=value
值正是我们服务器中设置的值。
接下来我们再次刷新这个页面可以看到在请求体中已经设置了Cookie
字段,并且将我们的值也带过去了。这样服务器就能够根据Cookie
中的值记住我们的信息了。
接下来我们换一个请求呢?是不是Cookie
也会带过去呢?接下来我们输入路径http://localhost:8005
请求。我们可以看到Cookie
字段还是被带过去了。
那么浏览器的Cookie
是存放在哪呢?如果是使用的是Chrome
浏览器的话,那么可以按照下面步骤。
- 在计算机打开
Chrome
- 在右上角,一次点击
更多
图标->设置
- 在底部,点击
高级
- 在
隐私设置和安全性
下方,点击网站设置 - 依次点击
Cookie
->查看所有Cookie和网站数据
然后可以根据域名进行搜索所管理的Cookie
数据。所以是浏览器替你管理了Cookie
的数据,如果此时你换成了Firefox
等其他的浏览器,因为Cookie
刚才是存储在Chrome
里面的,所以服务器又蒙圈了,不知道你是谁,就会给Firefox
再次贴上小纸条。
Cookie中的参数设置
说到这里,应该知道了Cookie
就是服务器委托浏览器存储在客户端里的一些数据,而这些数据通常都会记录用户的关键识别信息。所以Cookie
需要用一些其他的手段用来保护,防止外泄或者窃取,这些手段就是Cookie
的属性。
参数名 | 作用 | 后端设置方法 |
---|---|---|
Max-Age | 设置cookie的过期时间,单位为秒 | cookie.setMaxAge(10) |
Domain | 指定了Cookie所属的域名 | cookie.setDomain("") |
Path | 指定了Cookie所属的路径 | cookie.setPath(""); |
HttpOnly | 告诉浏览器此Cookie只能靠浏览器Http协议传输,禁止其他方式访问 | cookie.setHttpOnly(true) |
Secure | 告诉浏览器此Cookie只能在Https安全协议中传输,如果是Http则禁止传输 | cookie.setSecure(true) |
下面我就简单演示一下这几个参数的用法及现象。
Path
设置为cookie.setPath("/testCookies")
,接下来我们访问http://localhost:8005/testCookies
,我们可以看到在左边和我们指定的路径是一样的,所以Cookie
才在请求头中出现,接下来我们访问http://localhost:8005
,我们发现没有Cookie
字段了,这就是Path
控制的路径。
Domain
设置为cookie.setDomain("localhost")
,接下来我们访问http://localhost:8005/testCookies
我们发现下图中左边的是有Cookie
的字段的,但是我们访问http://172.16.42.81:8005/testCookies
,看下图的右边可以看到没有Cookie
的字段了。这就是Domain
控制的域名发送Cookie
。
接下来的几个参数就不一一演示了,相信到这里大家应该对Cookie
有一些了解了。
Session
> Cookie是存储在客户端方,Session是存储在服务端方,客户端只存储SessionId
在上面我们了解了什么是Cookie
,既然浏览器已经通过Cookie
实现了有状态这一需求,那么为什么又来了一个Session
呢?这里我们想象一下,如果将账户的一些信息都存入Cookie
中的话,一旦信息被拦截,那么我们所有的账户信息都会丢失掉。所以就出现了Session
,在一次会话中将重要信息保存在Session
中,浏览器只记录SessionId
一个SessionId
对应一次会话请求。
@RequestMapping("/testSession") @ResponseBody public String testSession(HttpSession session){ session.setAttribute("testSession","this is my session"); return "testSession"; } @RequestMapping("/testGetSession") @ResponseBody public String testGetSession(HttpSession session){ Object testSession = session.getAttribute("testSession"); return String.valueOf(testSession); }
这里我们写一个新的方法来测试Session
是如何产生的,我们在请求参数中加上HttpSession session
,然后再浏览器中输入http://localhost:8005/testSession
进行访问可以看到在服务器的返回头中在Cookie
中生成了一个SessionId
。然后浏览器记住此SessionId
下次访问时可以带着此Id,然后就能根据此Id找到存储在服务端的信息了。
此时我们访问路径http://localhost:8005/testGetSession
,发现得到了我们上面存储在Session
中的信息。那么Session
什么时候过期呢?
- 客户端:和
Cookie
过期一致,如果没设置,默认是关了浏览器就没了,即再打开浏览器的时候初次请求头中是没有SessionId
了。 - 服务端:服务端的过期是真的过期,即服务器端的
Session
存储的数据结构多久不可用了,默认是30分钟。
既然我们知道了Session
是在服务端进行管理的,那么或许你们看到这有几个疑问,Session
是在在哪创建的?Session
是存储在什么数据结构中?接下来带领大家一起看一下Session
是如何被管理的。
Session
的管理是在容器中被管理的,什么是容器呢?Tomcat
、Jetty
等都是容器。接下来我们拿最常用的Tomcat
为例来看下Tomcat
是如何管理Session
的。在ManageBase
的createSession
是用来创建Session
的。
@Override public Session createSession(String sessionId) { //首先判断Session数量是不是到了最大值,最大Session数可以通过参数设置 if ((maxActiveSessions >= 0) && (getActiveSessions() >= maxActiveSessions)) { rejectedSessions++; throw new TooManyActiveSessionsException( sm.getString("managerBase.createSession.ise"), maxActiveSessions); } // 重用或者创建一个新的Session对象,请注意在Tomcat中就是StandardSession // 它是HttpSession的具体实现类,而HttpSession是Servlet规范中定义的接口 Session session = createEmptySession(); // 初始化新Session的值 session.setNew(true); session.setValid(true); session.setCreationTime(System.currentTimeMillis()); // 设置Session过期时间是30分钟 session.setMaxInactiveInterval(getContext().getSessionTimeout() * 60); String id = sessionId; if (id == null) { id = generateSessionId(); } session.setId(id);// 这里会将Session添加到ConcurrentHashMap中 sessionCounter++; //将创建时间添加到LinkedList中,并且把最先添加的时间移除 //主要还是方便清理过期Session SessionTiming timing = new SessionTiming(session.getCreationTime(), 0); synchronized (sessionCreationTiming) { sessionCreationTiming.add(timing); sessionCreationTiming.poll(); } return session }
到此我们明白了Session
是如何创建出来的,创建出来后Session
会被保存到一个ConcurrentHashMap
中。可以看StandardSession
类。
protected Map<string, session> sessions = new ConcurrentHashMap<>();
到这里大家应该对Session
有简单的了解了。
> Session是存储在Tomcat的容器中,所以如果后端机器是多台的话,因此多个机器间是无法共享Session的,此时可以使用Spring提供的分布式Session的解决方案,是将Session放在了Redis中。
Token
Session
是将要验证的信息存储在服务端,并以SessionId
和数据进行对应,SessionId
由客户端存储,在请求时将SessionId
也带过去,因此实现了状态的对应。而Token
是在服务端将用户信息经过Base64Url编码过后传给在客户端,每次用户请求的时候都会带上这一段信息,因此服务端拿到此信息进行解密后就知道此用户是谁了,这个方法叫做JWT(Json Web Token)。
> Token
相比较于Session
的优点在于,当后端系统有多台时,由于是客户端访问时直接带着数据,因此无需做共享数据的操作。
Token的优点
- 简洁:可以通过
URL
,POST
参数或者是在HTTP
头参数发送,因为数据量小,传输速度也很快 - 自包含:由于串包含了用户所需要的信息,避免了多次查询数据库
- 因为Token是以Json的形式保存在客户端的,所以JWT是跨语言的
- 不需要在服务端保存会话信息,特别适用于分布式微服务
JWT的结构
实际的JWT大概长下面的这样,它是一个很长的字符串,中间用.
分割成三部分
JWT是有三部分组成的
Header
是一个Json对象,描述JWT的元数据,通常是下面这样子的
{ "alg": "HS256", "typ": "JWT" }
上面代码中,alg属性表示签名的算法(algorithm),默认是 HMAC SHA256(写成 HS256);typ属性表示这个令牌(token)的类型(type),JWT 令牌统一写为JWT。 最后,将上面的 JSON 对象使用 Base64URL 算法转成字符串。
> JWT 作为一个令牌(token),有些场合可能会放到 URL(比如 api.example.com/?token=xxx)。Base64 有三个字符+、/和=,在 URL 里面有特殊含义,所以要被替换掉:=被省略、+替换成-,/替换成_ 。这就是 Base64URL 算法。
Payload
Payload部分也是一个Json对象,用来存放实际需要传输的数据,JWT官方规定了下面几个官方的字段供选用。
- iss (issuer):签发人
- exp (expiration time):过期时间
- sub (subject):主题
- aud (audience):受众
- nbf (Not Before):生效时间
- iat (Issued At):签发时间
- jti (JWT ID):编号
当然除了官方提供的这几个字段我们也能够自己定义私有字段,下面就是一个例子
{ "name": "xiaoMing", "age": 14 }
默认情况下JWT是不加密的,任何人只要在网上进行Base64解码就可以读到信息,所以一般不要将秘密信息放在这个部分。这个Json对象也要用Base64URL
算法转成字符串
Signature
Signature部分是对前面的两部分的数据进行签名,防止数据篡改。
首先需要定义一个秘钥,这个秘钥只有服务器才知道,不能泄露给用户,然后使用Header中指定的签名算法(默认情况是HMAC SHA256),算出签名以后将Header、Payload、Signature三部分拼成一个字符串,每个部分用.
分割开来,就可以返给用户了。
> HS256可以使用单个密钥为给定的数据样本创建签名。当消息与签名一起传输时,接收方可以使用相同的密钥来验证签名是否与消息匹配。
Java中如何使用Token
上面我们介绍了关于JWT的一些概念,接下来如何使用呢?首先在项目中引入Jar包
compile('io.jsonwebtoken:jjwt:0.9.0')
然后编码如下
// 签名算法 ,将对token进行签名 SignatureAlgorithm signatureAlgorithm = SignatureAlgorithm.HS256; // 通过秘钥签名JWT byte[] apiKeySecretBytes = DatatypeConverter.parseBase64Binary("SECRET"); Key signingKey = new SecretKeySpec(apiKeySecretBytes, signatureAlgorithm.getJcaName()); Map<string,object> claimsMap = new HashMap<>(); claimsMap.put("name","xiaoMing"); claimsMap.put("age",14); JwtBuilder builderWithSercet = Jwts.builder() .setSubject("subject") .setIssuer("issuer") .addClaims(claimsMap) .signWith(signatureAlgorithm, signingKey); System.out.printf(builderWithSercet.compact());
发现输出的Token如下
eyJhbGciOiJIUzI1NiJ9.eyJzdWIiOiJzdWJqZWN0IiwiaXNzIjoiaXNzdWVyIiwibmFtZSI6InhpYW9NaW5nIiwiYWdlIjoxNH0.3KOWQ-oYvBSzslW5vgB1D-JpCwS-HkWGyWdXCP5l3Ko
此时在网上随便找个Base64解码的网站就能将信息解码出来
总结
相信大家看到这应该对Cookie
、Session
、Token
有一定的了解了,接下来再回顾一下重要的知识点
- Cookie是存储在客户端的
- Session是存储在服务端的,可以理解为一个状态列表。拥有一个唯一会话标识
SessionId
。可以根据SessionId
在服务端查询到存储的信息。 - Session会引发一个问题,即后端多台机器时Session共享的问题,解决方案可以使用Spring提供的框架。
- Token类似一个令牌,无状态的,服务端所需的信息被Base64编码后放到Token中,服务器可以直接解码出其中的数据。
GitHub代码地址
参考文章
低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。
持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。
转载内容版权归作者及来源网站所有,本站原创内容转载请注明来源。
- 上一篇
鲁班 H5 1.7.1 发布,可以理解为开源版本的简单易企秀、人人秀
【鲁班H5】前后端都开源的h5快速制作平台,类似于开源版本的易企秀、人人秀,可以通过拖拽的形式,快速生成H5 1.7.1更新的内容有(2019-11-30) Bug Fixes 更新设置 yarn 镜像(3cf794b) plugin: 修复轮播图、多选组、单选组的默认值 (141036f) 修正透明颜色#105 (35965ff) text:设置文字的默认边框为0 (f21bf35) update mirror.sh (3cf794b) plugin: clone the default items for slide,radio group, checkbox group (141036f) #105 (35965ff) text: set default border radius: 0 (f21bf35) Features install:提供一键安装脚本,简化安装步骤,在本地通过使用Docker+Ubuntu 镜像,即可快速安装+体验鲁班H5 (2e123b6) install: add one click install script for Ubuntu18.04 (2e...
- 下一篇
默认情况下,80% 的 Android 应用正在使用加密流量
谷歌方面表示,截至2019年10月,五分之四(80%)可通过官方Play商店下载的 Android 应用程序正在使用 HTTPS 加密各自的网络流量。而对于直接针对 Android 9 的应用,该数字甚至更高,达到 90%。这意味着进入或离开这些应用程序之一的流量是经过加密的,第三方无法拦截或读取。 谷歌预计,这一数字将在未来几年内上升,这主要是由于该公司自 2016 年以来已逐步推出并实施了一系列措施。其中包括了IDE 工具和 Google Play 开发人员仪表板中的警告。 据悉,自 2017 年以来,谷歌一直在推动 Android 开发人员将加密流量集成到其应用程序中,以便在应用程序通过Internet或网络进行通信时提供更好的安全性和隐私性。 从 2016 年的 Android 7 开始,Google 引入了网络安全配置文件,该文件允许应用开发人员在执行网络通信时选择不使用明文。在 2018 年发布的 Android 9 中,Google 进一步采取了措施,使所有以 Android 9 或更高版本为目标的应用程序都将自动使用默认策略,以阻止应用程序使用未加密的流量。 值得一提的...
相关文章
文章评论
共有0条评论来说两句吧...
文章二维码
点击排行
-
Docker使用Oracle官方镜像安装(12C,18C,19C)
- Springboot2将连接池hikari替换为druid,体验最强大的数据库连接池
- CentOS8编译安装MySQL8.0.19
- Docker快速安装Oracle11G,搭建oracle11g学习环境
- SpringBoot2配置默认Tomcat设置,开启更多高级功能
- MySQL8.0.19开启GTID主从同步CentOS8
- CentOS7,8上快速安装Gitea,搭建Git服务器
- Jdk安装(Linux,MacOS,Windows),包含三大操作系统的最全安装
- SpringBoot2编写第一个Controller,响应你的http请求并返回结果
推荐阅读
最新文章
- SpringBoot2编写第一个Controller,响应你的http请求并返回结果
- Windows10,CentOS7,CentOS8安装MongoDB4.0.16
- Linux系统CentOS6、CentOS7手动修改IP地址
- SpringBoot2配置默认Tomcat设置,开启更多高级功能
- Jdk安装(Linux,MacOS,Windows),包含三大操作系统的最全安装
- Springboot2将连接池hikari替换为druid,体验最强大的数据库连接池
- Windows10,CentOS7,CentOS8安装Nodejs环境
- CentOS7安装Docker,走上虚拟化容器引擎之路
- CentOS7编译安装Gcc9.2.0,解决mysql等软件编译问题
- Red5直播服务器,属于Java语言的直播服务器