python - cookie 是一种通用且安全的 session 实现吗？

Question

我正在使用 Pyramid 网络框架。我对cookie和 session 之间的关系感到困惑。查了维基百科才知道session是一个抽象的概念，cookie可能只是一种方式(在客户端)。

那么，我的问题是，(在客户端和服务器上)最常见的实现是什么？有人可以举一些例子(也许只是描述)代码吗？ (我不想使用 Pyramid 内提供的 session 支持来学习)

Answer 1

session 最常见的实现方式是使用 cookie。

cookie 提供了一种存储任意一段文本的方法，该文本通常用作 session 标识符。当 cookie 与 HTTP 请求一起发送时，服务器(从技术上讲是在其上运行的代码)可以使用 cookie 文本(如果存在)来识别它之前已经看到过客户端。 cookie 中的文本通常提供足够的信息来从数据库中检索有关此客户端的额外信息。

例如，一个非常简单的实现可能会将主键存储到数据库中的 shopping_cart 表中，这样当服务器收到 cookie 文本时，它可以直接使用它来访问适当的购物车对于那个特定的客户。

(这是一种天真的方法，因为用户可以做一些事情，比如将他们自己的 cookie 更改为不同的主键，并以这种方式访问​​其他人的购物车。选择一个合适的 session ID isn't as simple as it seems，这就是为什么它几乎总是更好使用现有的 session 实现。)

另一种存储 session 标识符的方法是在 url 中使用 GET 参数(例如，在 http://example.com/some/page?sid=4s6da4sdasd48 , 然后 sid GET 参数提供与 cookie 字符串相同的功能)。在这种方法中，指向站点上其他页面的所有链接都附加了 GET 参数。