很多主流的网站都支持用户自动登录的功能,浏览器登录过一次之后,下次再访问就不用再输用户名密码了。
有一种糟糕的做法: 用户登录后在服务器端用session保存用户的登录数据,在客户端存键为sessionid的cookie;服务器处理请求时检查这个请求带来的sessionid,看是不是保存了对应的数据,如果有就自动登录,没有就让输入用户名密码。 这个做法,只要拿了别人的sessionid就可以用来登录了,非常不安全。
用户数据很重要,那些巨头的网站是怎么实现自动登录的呢?
基本上都是通过保存sessionid来实现,如果想安全性好一点可以在服务器端做一个ip验证,看看两次登陆的ip是否一样,不过这个实现起来有问题,如果你是用着笔记本电脑,ip老变就有问题了,所以还是保存一个seesion比较靠谱。
如果其他人能拿到你的sessionid,那么也代表他完全可能拿到你的用户名密码,所以你的担心没有必要。
欢迎来到随意问技术百科, 这是一个面向专业开发者的IT问答网站,提供途径助开发者查找IT技术方案,解决程序bug和网站运维难题等。 温馨提示:本网站禁止用户发布与IT技术无关的、粗浅的、毫无意义的或者违法国家法规的等不合理内容,谢谢支持。