android - Java Servlet、Cookie 和 Android

Question

我正在编写一个 Android 应用程序，它将用户名和密码提交给托管在 Google App Engine 上的 Java Servlet。我正在编写这两个 Android 应用程序。和服务小程序。

用户名和密码被打包到设备上的 POST 请求中，servlet doPost() 方法检查这些值。如果用户名和密码正确，我请求一个 session ...如果它不存在则创建它:

HttpSession session = request.getSession(true);

在此 session 中，我存储了一个名称值对“logged”和“true”。

回到 android 设备上，将返回一个 cookie 以及 200 OK 的 HTTP 状态。这一切看起来都很好，因为服务器上的 session 是使用 cookie 实现的(对我来说是透明的，因为我只使用 session API)。

Android 设备进行的所有后续 HTTP POST 将 cookie 打包到 HTTP POST 中，以便它可以请求 .jsp 页面或使用其他 servlet 检查 session 中的“记录”和“真实”值(即 protected 页面) .

问题:即使未运行以下代码，也会返回 cookie:

HttpSession session = request.getSession(true);

即用户名和密码是假的。这不是一个安全问题，因为从未设置“logged”和“true”名称值对，因此应用程序无法使用 .jsp 或其他 servlet。但是，我使用的事实是 cookie 已从 POST 请求返回到设备作为身份验证成功的标志。

即使我没有使用或请求使用 session ，为什么我会收到 cookie？

我目前的解决方案是在 servlet 中创建一个额外的 cookie，并在设备上检查这个 cookie。但是，此 cookie 不是从设备打包到后续 POST 中的 cookie，因为它不是与包含“记录的”“真”值的 session 关联的 cookie。这看起来很老套。显然我误解了什么。

Answer 1

大多数(或可能是所有)servlet 容器都会总是为用户分配一个 session cookie，如果它们还没有 session cookie，无论所服务的 webapp 是否明确请求 session 。 Google App Engine 在这方面也不异常(exception)。除了设备已向服务器发出请求并收到一些响应之外，您不应仅基于 cookie 的存在或不存在来假设任何事情。

如果您想验证设备上的登录是否成功，为什么不直接发回一个它可以轻松解析的登录请求响应。例如，像 {"status": "success"} 这样的简单 JSON fragment 就可以了，或者甚至只是文字文本字符串“success”。

您的第二种 cookie 方法听起来确实有点老套。大概您的身份验证请求已经将一些响应发送回设备(如果正在发送 cookie，则必须如此)。您觉得通过使用 cookie 获得的好处是什么，而您只是通过将一些状态消息作为响应的一部分发回而得不到？