Jak działają Pliki cookie i sesje?

Przejdźmy przez to:

Cookies oraz sesje są oba sposoby zachowania stanu aplikacji pomiędzy różnymi żądaniami przeglądarki. To dzięki nim, na przykład, nie musisz się logować za każdym razem, gdy poprosisz o stronę na StackOverflow.

Ciasteczka

name=value; name2=value2

Są to przez JavaScript, lub za pośrednictwem serwera za pomocą nagłówek HTTP.

Pliki cookie mają ustawioną datę wygaśnięcia, przykład używając nagłówków HTTP:

Set-Cookie: name2=value2; Expires=Wed, 19 Jun 2021 10:18:14 GMT

Co spowoduje, że przeglądarka ustawi plik cookie o nazwie {[2] } o wartości value2, który wygaśnie za około 9 lat.

Pliki cookie są uważane za wysoce niebezpieczne , ponieważ użytkownik może łatwo manipulować ich zawartością. Dlatego należy zawsze sprawdzać poprawność danych cookie. Nie. Załóżmy, że to, co otrzymujesz z pliku cookie, jest koniecznie tym, czego oczekujesz.

Pliki cookie są zwykle używane do zachowania stanu logowania, gdzie nazwa użytkownika i specjalny hash są wysyłane z przeglądarki, a serwer sprawdza je w bazie danych, aby zatwierdzić dostęp.

Sesje

Sesje są nieco inne. Każdy użytkownik otrzymuje identyfikator sesji , który jest wysyłany z powrotem do serwera w celu weryfikacji przez cookie lub przez GET variable .

Sesje są zwykle krótkotrwałe, co czyni je idealnymi w zapisywaniu stanu tymczasowego między aplikacjami. Sesje wygasają również po zamknięciu przeglądarki przez użytkownika.

Sesje są uważane za bezpieczniejsze niż pliki cookie, ponieważ same zmienne są przechowywane na serwerze . Oto jak to działa:

Serwer otwiera sesję (ustawia plik cookie przez nagłówek HTTP)
1. Serwer ustawia sesję zmienna.
2. strona zmiany klienta
3. klient wysyła wszystkie pliki cookie wraz z identyfikatorem sesji z kroku 1.
4. Serwer odczytuje identyfikator sesji z pliku cookie.
5. Serwer dopasowuje identyfikator sesji z listy w bazie danych (lub pamięci itp.).
6. serwer znajduje dopasowanie, odczytuje zmienne, które są teraz dostępne na $_SESSION superglobal.

Jeśli PHP nie znajdzie dopasowania, rozpocznie nową sesję i powtórzy kroki od 1-7.

Możesz przechowywać wrażliwe informacje o sesji, ponieważ są przechowywane na serwerze, ale należy pamiętać, że identyfikator sesji może zostać skradziony, jeśli użytkownik, powiedzmy, zalogował się przez niezabezpieczone WiFi. (Atakujący może powąchać pliki cookie i ustawić je jako własne, nie zobaczy samych zmiennych, ale serwer zidentyfikuje atakującego jako użytkownika).