Asp.net Sessionid cookie : how it work?

Question

我已经阅读了有关 session 的微软指南，但我仍然不明白一件事:当我调用 session["somesession"] 时，此方法每次都读取 session cookie？

我看到了一个随机的sessionidKOJEAKBAALANILPHAGONBEIC这是取自 http://www.w3schools.com/

我的问题是:这个小字符串如何保证安全？很容易猜到，特别是如果该站点有很多事件 session

Answer 1

使用 ASP.NET，您可以将 session 数据存储在内存或数据库(例如 SQL Server)中。当您第一次在您的应用程序中使用 session 时，它将向客户端返回一个 session cookie。

来自客户端的所有 future 请求也将传递 session cookie(其中包括一个 id，例如您提供的那个)。您是正确的， session ID 本身绝不是安全的(尽管它有足够的字符来防止它受到简单的暴力攻击)。

然而，这正是 SSL 发挥作用的地方。如果您通过 SSL 为您的网站提供服务，那么该 cookie 的内容将在通过网络时被加密，任何窥探者都无法窃取您的 session 标识符(当然除非您的网站对 XSS 攻击开放) .