Session具体是做什么的？为什么不把ip和域名session看成一样呢？

Question

我想知道session具体有哪些？这不限于一种语言。下面仅以 php 为例。

我使用php session ，当我使用我的网站域名时它运行良好。为了在 Windows 操作系统上的本地 vmvare ubuntu 中测试网站，我更改了 Windows 的主机，以使 DNS 指向我的本地 IP。本地测试时，我使用域名，效果也不错。但是当我将浏览器中的 url 更改为 Ip 时， session 就会丢失。

你可能会困惑我为什么这样做，因为我还想在我的Android设备上测试页面，因为没有android root我无法更改我的Android设备的hosts文件，所以我必须使用ip。

你可能还会疑惑，为什么我不一路使用ip呢？因为我在我的网络应用程序中使用第三个开放登录。第三个打开的​​登录桅杆使用域名作为重定向url，所以当我登录时，它会重定向到域名格式的url。

为什么域名和ip时php的session是一样的？

确保php session 与域名和ip不一样？我也尝试了我的管理系统，上面是用户系统。

我也尝试一下我的管理系统，我可以用ip一路登录。但是当我将 ip 更改为 url 中的域名时， session 也会丢失。

Answer 1

既然你提到了 PHP，我将包含 PHP 手册中的信息。我相信其他语言也有类似的行为。

在服务器中， session 是特定于cookie的。来自PHP manual:

Session IDs are normally sent to the browser via session cookies and the ID is used to retrieve existing session data. The absence of an ID or session cookie lets PHP know to create a new session, and generate a new session ID.

在用户代理(客户端，通常是浏览器)中，cookie 特定于域和路径。来自 RFC6265，第 4.1.2.3 节:

The Domain attribute specifies those hosts to which the cookie will be sent. For example, if the value of the Domain attribute is "example.com", the user agent will include the cookie in the Cookie header when making HTTP requests to example.com, www.example.com, and www.corp.example.com.

第 4.1.2.4 节:

The user agent will include the cookie in an HTTP request only if the path portion of the request-uri matches (or is a subdirectory of) the cookie’s Path attribute, where the %x2F ("/") character is interpreted as a directory separator.

因此，如果您在域名和 IP 地址之间来回移动，例如 example.com 和 12.34.56.78，服务器为 example.com 创建的 session cookie 将不会被用户代理发回如果您稍后向 12.34.56.78 发出请求，即使两者是同一服务器。对于后面的请求，由于服务器看不到 session cookie，因此会创建一个新 session 并发送一个新 cookie。这就是为什么同时使用域名和 IP 地址将使用单独的 session 。

如果您需要在同时使用域名和 IP 地址时使用相同的 session ，则必须在请求之间保留 session ID。一种常见的方法是在查询字符串中传递 session ID。事实上，PHP session 管理也可以配置为使用此方法，但我从来不需要使用它，所以我无法告诉您这是如何进行的。

继续我的示例，您可以将其用于后续请求:

http://12.34.56.78/?sessionId=abcdef0123456789

其中 abcdef0123456789 是示例 session ID。

在 PHP 代码中，在调用 session_start() 之前设置 session ID。示例代码:

if(isset($_GET['sessionId']))
    session_id($_GET['sessionId']);
@session_start();

当然，您不必使用sessionId。您可以使用 foobar 或其他任何东西。您还可以每天甚至每小时更改它以防止 session 劫持。

更新:要使用 foobar，请将 PHP 代码修改为:

if(isset($_GET['foobar']))
    session_id($_GET['foobar']);
@session_start();

使用该代码，您可以像这样传递 session ID:

http://12.34.56.78/?foobar=abcdef0123456789

如果您想使用xyz，PHP 代码将为:

if(isset($_GET['xyz']))
    session_id($_GET['xyz']);
@session_start();

您可以像这样传递 session ID:

http://12.34.56.78/?xyz=abcdef0123456789

重点是，这完全取决于你。