java - Play 框架 session 和 cookie 是如何工作的？

Question

play 如何验证 cookie？

• 我注意到在我重新启动服务器后我仍然登录，即使我不要在数据库中保留任何 session 数据。
  
• 我也注意到了我可以将服务器上的日期设置为大于到期日期cookie 的日期，但我仍然登录。
  
• 我退出了(将 cookie 保存到文本文件中)并且浏览器丢失了 cookie。然后我从文本文件重新创建 cookie，我再次登录。

cookie 看起来像这样:

PLAY_SESSION=e6443c88da7xxxxxxxxxxxxxxxxxxxxxxxxxxxxx-userid%3A1

// My logout code
def logout() = Action {
  Ok("").withNewSession
}

---

From the documentation
丢弃整个 session
有一个丢弃整个 session 的特殊操作:

Ok("Bye").withNewSession

Answer 1

您没有指定如何对用户进行身份验证，所以我只是猜测，您正在使用简单的示例，它非常……简单。

它使用用户的 id 来识别用户，并检查签名的 session cookie 是否未被操纵，因此如果您使用正确的签名重新创建 cookie，它仍然有效。

您应该在服务器端为 session key 创建一些区域，即。在数据库或内存缓存中(这将比数据库更快)。它的 key 应该为每个成功的登录操作随机生成(最好是相当长)，并且还应该包含用于识别用户、到期日期等的数据。接下来你应该把这个随机的 sess_key 放到 Play 的 session 中已登录用户的电子邮件地址或他在数据库中的行的 ID，并且在注销和/或到期日期后应将其删除。在这种情况下，即使您在注销后丢失了 cookie，也无法使用非 esixting sess_key 正确登录。

AFAIR 标准内存缓存将在每次重新启动应用程序时被清除，以确保数据库中的所有 sess_keys 也将被删除，您可以使用 Global object并在 onStart(...) 方法中截断表格。