2021-01-31 分類: 網站建設
Cookie 技術產生源于 HTTP 協議在互聯網上的急速發展。隨著互聯網時代的策馬奔騰,帶寬等限制不存在了,人們需要更復雜的互聯網交互活動,就必須同服務器保持活動狀態(簡稱:保活)。
于是,在瀏覽器發展初期,為了適應用戶的需求技術上推出了各種保持 Web 瀏覽狀態的手段,其中就包括了 Cookie 技術。Cookie 在計算機中是個存儲在瀏覽器目錄中的文本文件,當瀏覽器運行時,存儲在 RAM 中發揮作用 (此種 Cookies 稱作 Session Cookies),一旦用戶從該網站或服務器退出,Cookie 可存儲在用戶本地的硬盤上 (此種 Cookies 稱作 Persistent Cookies)。
Cookie 起源:1993 年,網景公司雇員 Lou Montulli 為了讓用戶在訪問某網站時,進一步提高訪問速度,同時也為了進一步實現個人化網絡,發明了今天廣泛使用的 Cookie。(所以,適當的偷懶也會促進人類計算機發展史的一小步~)
Cookie時效性:目前有些 Cookie 是臨時的,有些則是持續的。臨時的 Cookie 只在瀏覽器上保存一段規定的時間,一旦超過規定的時間,該 Cookie 就會被系統清除。
Cookie使用限制:Cookie 必須在 HTML 文件的內容輸出之前設置;不同的瀏覽器 (Netscape Navigator、Internet Explorer) 對 Cookie 的處理不一致,使用時一定要考慮;客戶端用戶如果設置禁止 Cookie,則 Cookie 不能建立。 并且在客戶端,一個瀏覽器能創建的 Cookie 數量最多為 300 個,并且每個不能超過 4KB,每個 Web 站點能設置的 Cookie 總數不能超過 20 個。
執行流程:
A:首先,客戶端會發送一個http請求到服務器端。
B: 服務器端接受客戶端請求后,發送一個http響應到客戶端,這個響應頭,其中就包含Set-Cookie頭部。
C:在客戶端發起的第二次請求(注意:如果服務器需要我們帶上Cookie,我們就需要在B步驟上面拿到這個Cookie然后作為請求頭一起發起第二次請求),提供給了服務器端可以用來唯一標識客戶端身份的信息。這時,服務器端也就可以判斷客戶端是否啟用了cookies。盡管,用戶可能在和應用程序交互的過程中突然禁用cookies的使用,但是,這個情況基本是不太可能發生的,所以可以不加以考慮,這在實踐中也被證明是對的。
為了方便理解,可以先看下這張流程執行圖加深概念
image.png
那么,在瀏覽器上面的請求頭和Cookie在那?下圖給大家截取了其中一種。
image.png
那么,上面都是談瀏覽器上的Cookie,那么在Android開發中,我們該如何去管理和使用Cookie?
Okhttp作為經典到爆的網絡框架,它的API(本文是基于Okhttp3.0版本以上,3.0以下的版本API有所不同)是通過OkhttpClient中的CookieJar或者攔截器去管理Cookie的。理論上,我們只需在構建單例OkhttpClient的時候,設置cookiejar或者攔截器,然后具體的操作(具體的操作也就是保存Cookie,取Cookie),Okhttp框架就會幫我們自動管理Cookie。
如下圖:
image.png
這是其中一種通過集合的增查特性,就可以簡單有效的幫我們管理Cookie。但我們還是要通過源代碼去一探究竟。首先,CookieJar是一個接口。
image.png
英文注釋翻譯過來就是(對應段落翻譯):
CookieJar這個接口為HTTP cookies提供了強大的支持和相關策略。
這種策略的實現作用會負責選擇接受和拒絕那些cookie。一個合理的策略是拒絕所有的cookie,盡管這樣會干擾需要cookie的基于會話的自身身份驗證方案。
作為Cookie的持久性,該接口的實現也必須要提供Cookie的存儲。一種簡單的實現可以將cookie存儲在內存中;復雜的系統可以使用文件系統用于保存已接受的cookie的數據庫。這里的鏈接https://tools.ietf.org/html/rfc6265 指定cookie存儲模型更新和過期的cookie的策略。
所以,Okhttp的源碼告知我們可以將cookie存儲在內存中;復雜的系統可以使用文件系統用于保存已接受的cookie的數據庫。因此,我們就可以通過Map去簡單的管理和使用。
繼續分析CookieJar接口里面的方法,依舊上源碼
image.png
里面有方法一個是saveFromResponse(HttpUrl url, List cookies)、loadForRequest(HttpUrl url)
saveFromResponse方法翻譯:根據這個jar的方法,可以將cookie從一個HTTP響應保存到這里。
請注意,如果響應,此方法可能被稱為第二次HTTP響應,包括一個追蹤。對于這個隱蔽的HTTP特性,這里的cookie只包含其追蹤的cookie。簡單點理解就是如果我們使用了這個方法,就會進行追蹤(說白了就是客戶端請求成功以后,在響應頭里面去存cookie)
loadForRequest方法翻譯:將cookie從這個方法加載到一個HTTP請求到指定的url。這個方法從網絡上返回的結果可能是一個空集合。簡單的實現將返回尚未過期的已接受的cookie去進行匹配。(說白了就是加載url的時候在請求頭帶上cookie)。
image.png
這樣,我們通過以上代碼就可以完成了Cookie的非持久化。什么,非持久化,這又是神馬?
繼續給大家科普,在上面說道,Cookie是具有時效性的,所以,Cookie的管理又分為持久化Cookie和非持久化Cookie。非持久化Cookie存儲在內存中,也就意味著,其生命周期基本和app保持一致,app關閉后,Cookie丟失。而持久化Cookie則是存儲在本地磁盤中,app關閉后不丟失。那么,如果我們要使用Cookie的持久化策略,思想可以參考上面的非持久化策略,只需要將存儲方式改一下即可:
A:通過響應攔截器從response取出cookie并保存到本地,通過請求攔截器從本地取出cookie并添加到請求中
B:自定義CookieJar,在saveFromResponse()中保存cookie到本地,在loadForRequest()從本地取出cookie。
那么在這里主要介紹如何通過Okhttp逼格值較高的攔截器去進行持久化cookie操作。
image.png
保存cookie攔截器-1
image.png
保存cookie攔截器-2
這個SaveCookiesInterceptor攔截器的實現,是首先從response獲取set-cookie字段的值,然后通過SharedPreferences保存在本地。
image.png
將Cookie添加到請求頭
AddCookiesInterceptor請求攔截器,這個攔截的作用就是判斷如果該請求存在cookie,則為其添加到Header的Cookie中。
寫好這兩個攔截器之后,我們只需要將實例對象放進OkhttpClient里面即可快速的完成Cookie持久化操作。(PS:這兩個攔截器在同步Cookie的時候也是超級好用)
image.png
Okhttp使用cookie攔截器
拓展:如何通過客戶端的cookie與H5上面的cookie進行同步,給大家推薦這一篇文章
客戶端與H5同步Cookie
https://www.jianshu.com/p/88084a66c256
Session是對于服務端來說的,客戶端是沒有Session一說的。Session是服務器在和客戶端建立連接時添加客戶端連接標志,最終會在服務器軟件(Apache、Tomcat、JBoss)轉化為一個臨時Cookie發送給給客戶端,當客戶端第一請求時服務器會檢查是否攜帶了這個Session(臨時Cookie),如果沒有則會添加Session,如果有就拿出這個Session來做相關操作。
在這里引用別人家的一個小故事來加深印象:
在說session是啥之前,我們先來說說為什么會出現session會話,它出現的機理是什么?
我們知道,我們用瀏覽器打開一個網頁,用到的是HTTP協議,了解計算機的應該都知道這個協議,它是無狀態的,什么是無狀態呢?就是說這一次請求和上一次請求是沒有任何關系的,互不認識的,沒有關聯的。但是這種無狀態的的好處是快速。所以就會帶來一個問題就是,我希望幾個請求的頁面要有關聯,比如:我在www.a.com/login.php里面登陸了,我在www.a.com/index.php 也希望是登陸狀態,但是,這是2個不同的頁面,也就是2個不同的HTTP請求,這2個HTTP請求是無狀態的,也就是無關聯的,所以無法單純的在index.php中讀取到它在login.php中已經登陸了!
那咋搞呢?我不可能這2個頁面我都去登陸一遍吧。或者用笨方法這2個頁面都去查詢數據庫,如果有登陸狀態,就判斷是登陸的了。這種查詢數據庫的方案雖然可行,但是每次都要去查詢數據庫不是個事,會造成數據庫的壓力。 所以正是這種訴求,這個時候,一個新的客戶端存儲數據方式出現了:cookie。cookie是把少量的信息存儲在用戶自己的電腦上,它在一個域名下是一個全局的,只要設置它的存儲路徑在域名www.a.com下 ,那么當用戶用瀏覽器訪問時,php就可以從這個域名的任意頁面讀取cookie中的信息。所以就很好的解決了我在www.a.com/login.php頁面登陸了,我也可以在www.a.com/index.php獲取到這個登陸信息了。
同時又不用反復去查詢數據庫。 雖然這種方案很不錯,也很快速方便,但是由于cookie 是存在用戶端,而且它本身存儲的尺寸大小也有限,最關鍵是用戶可以是可見的,并可以隨意的修改,很不安全。那如何又要安全,又可以方便的全局讀取信息呢?于是,這個時候,一種新的存儲會話機制:session 誕生了。
Session 就是在一次會話中解決2次HTTP的請求的關聯,讓它們產生聯系,讓2兩個頁面都能讀取到找個這個全局的session信息。session信息存在于服務器端,所以也就很好的解決了安全問題。
3.Token
token是用戶身份的驗證方式,我們通常叫它:令牌。最簡單的token組成:uid(用戶唯一的身份標識)、time(當前時間的時間戳)、sign(簽名,由token的前幾位+鹽以哈希算法壓縮成一定長的十六進制字符串,可以防止惡意第三方拼接token請求服務器)。還可以把不變的參數也放進token,避免多次查庫。
應用場景:
A:當用戶首次登錄成功(注冊也是一種可以適用的場景)之后, 服務器端就會生成一個 token 值,這個值,會在服務器保存token值(保存在數據庫中),再將這個token值返回給客戶端.
B:客戶端拿到 token 值之后,進行本地保存。(SP存儲是大家能夠比較支持和易于理解操作的存儲)
C:當客戶端再次發送網絡請求(一般不是登錄請求)的時候,就會將這個 token 值附帶到參數中發送給服務器.
D:服務器接收到客戶端的請求之后,會取出token值與保存在本地(數據庫)中的token值做對比
對比一:如果兩個 token 值相同, 說明用戶登錄成功過!當前用戶處于登錄狀態!
對比二:如果沒有這個 token 值, 則說明沒有登錄成功.
對比三:如果 token 值不同: 說明原來的登錄信息已經失效,讓用戶重新登錄.
#Cookie和Session的區別:
1、cookie數據存放在客戶的瀏覽器上,session數據放在服務器上。
2、cookie不是很安全,別人可以分析存放在本地的cookie并進行cookie欺騙,考慮到安全應當使用session。
3、session會在一定時間內保存在服務器上。當訪問增多,會比較占用你服務器的性能,考慮到減輕服務器性能方面,應當使用cookie。
4、單個cookie保存的數據不能超過4K,很多瀏覽器都限制一個站點最多保存20個cookie。
5、所以個人建議:
將登陸信息等重要信息存放為session
其他信息如果需要保留,可以放在cookie中
Token 和 Session 的區別:
session和 token并不矛盾,作為身份認證token安全性比session好,因為每個請求都有簽名還能防止監聽以及重放攻擊,而session就必須靠鏈路層來保障通訊安全了。如上所說,如果你需要實現有狀態的會話,仍然可以增加session來在服務器端保存一些狀態。
App通常用restful api跟server打交道。Rest是stateless的,也就是app不需要像browser那樣用cookie來保存session,因此用session token來標示自己就夠了,session/state由api server的邏輯處理。如果你的后端不是stateless的rest api,那么你可能需要在app里保存session.可以在app里嵌入webkit,用一個隱藏的browser來管理cookie session.
Session是一種HTTP存儲機制,目的是為無狀態的HTTP提供的持久機制。所謂Session認證只是簡單的把User信息存儲到Session里,因為SID的不可預測性,暫且認為是安全的。這是一種認證手段。而Token,如果指的是OAuth Token或類似的機制的話,提供的是 認證 和 授權 ,認證是針對用戶,授權是針對App。
其目的是讓 某App有權利訪問 某用戶 的信息。這里的Token是唯一的。不可以轉移到其它App上,也不可以轉到其它 用戶 上。轉過來說Session。Session只提供一種簡單的認證,即有此SID,即認為有此User的全部權利。是需要嚴格保密的,這個數據應該只保存在站方,不應該共享給其它網站或者第三方App。所以簡單來說,如果你的用戶數據可能需要和第三方共享,或者允許第三方調用API接口,用Token。如果永遠只是自己的網站,自己的App,用什么就無所謂了。
token就是令牌,比如你授權(登錄)一個程序時,他就是個依據,判斷你是否已經授權該軟件;cookie就是寫在客戶端的一個txt文件,里面包括你登錄信息之類的,這樣你下次在登錄某個網站,就會自動調用cookie自動登錄用戶名;session和cookie差不多,只是session是寫在服務器端的文件,也需要在客戶端寫入cookie文件,但是文件里是你的瀏覽器編號.Session的狀態是存儲在服務器端,客戶端只有session id;而Token的狀態是存儲在客戶端。
作者:L惟愿時光善待青春年少
網站欄目:什么是session、cookie、token,他們有什么區別?
網頁網址:http://m.newbst.com/news37/98387.html
成都網站建設公司_創新互聯,為您提供定制開發、標簽優化、商城網站、App設計、企業建站、外貿網站建設
聲明:本網站發布的內容(圖片、視頻和文字)以用戶投稿、用戶轉載內容為主,如果涉及侵權請盡快告知,我們將會在第一時間刪除。文章觀點不代表本網站立場,如需處理請聯系客服。電話:028-86922220;郵箱:631063699@qq.com。內容未經允許不得轉載,或轉載時需注明來源: 創新互聯
猜你還喜歡下面的內容