关于使用加密cookie取代session

目前公司想要做集群,请问关于使用加密cookie取代session方案.

评论

20 楼 legend 2009-02-20  

liquidthinker 写道

加密cookie？不太明白意图。不管cookie加密与否，都需要在服务器端维护一个副本，只需要拿客户端的cookie到服务器端的副本比较验证就行了，既然都要验证，加不加密有什么区别呢。如果不在服务器上维护副本，又不用session，怎么维护状态呢。既然要在服务器上维护客户端cookie的副本，又跟使用session有合区别呢。我没看懂，还是楼主是想说sso？

他的意思可能是用 Cookie 取代 Session，这样服务器端不需要保存应用状态，节省服务器资源，而加密密钥则在服务器端共享，所有的客户端都是用同一个密钥。不过加密解密本身也会消耗计算资源，所以这种方法，可能只是把一个空间问题变成了一个时间问题。

19 楼 iXh 2009-02-20  

路过。。。。

18 楼 yt 2008-03-10  

这个对密码的要求很高了,如果加密算法被破解的话,那系统衣服就脱光了

17 楼 pf_miles 2008-03-09  

可以考虑专门建一个session服务器，用Berkerly DB等实现存储，把容器的标准session换掉。

16 楼 zzxplayful 2008-03-08  

你看一下CAS，它就是用cookie实现多个应用集成的，它采用的是https来加密cookie的

15 楼 jjcang 2008-03-07  

session的实现就是cookie啊。
当然还有一些其它实现，不过一般都是cookie被禁止时才用的。

14 楼 neptune 2008-03-07  

这个问题在这个论坛上，也没少谈论了吧。
cookie是不可以完全代替session的，你这里的方案，cookie存放的只是一个为一的标识(如用户id)，在服务器端你还是要维护session的数据的，例如把session如果放到memcache中。除非需求对session的数据量要求非常少,几个或十几个时可以使用加密cookie来处理，但为了系统的扩展性，不知这种实现还可以吗。

13 楼 flyraincn 2008-03-07  

liquidthinker 写道

加密cookie？不太明白意图。不管cookie加密与否，都需要在服务器端维护一个副本，只需要拿客户端的cookie到服务器端的副本比较验证就行了，既然都要验证，加不加密有什么区别呢。如果不在服务器上维护副本，又不用session，怎么维护状态呢。既然要在服务器上维护客户端cookie的副本，又跟使用session有合区别呢。我没看懂，还是楼主是想说sso？

前提是集群，要拿客户端的cookie与服务器端的副本比较的话，那就得服务器间同步cookie副本，那与同步session有什么区别

12 楼 lixjluck 2008-03-07  

可以参考一下acegi的RememberMeService的实现。

11 楼 lixjluck 2008-03-07  

用户信息、权限列表可以放在cache里，不一定非是session.

10 楼 neptune 2008-03-07  

不知道你的session中有大数据量时，你该如何处理。

例如：用户信息、权限列表。

9 楼 suxy 2008-03-06  

两年前看过roller的实现，大概是这样:

1. 对用户唯一标记（可能是id,记不清了）根据某个算法加密为一个字符串，把这个字符串写入cookie,并存入数据库。
2. 用户发起请求时先从本地取cookie,并根据请求的用户id去数据库中查找它对应的cookie,如果跟本地cookie相同，则认为是正确的用户，重复步骤1的操作。如果不同，则验证失败。

上述操作是在一个filter中进行的。

大概就是这样，不知道我说清楚没有

8 楼 rojazz1999 2008-03-06  

本人立志成为Javaeye的灌水之王,请大家多多支持.

7 楼 liquidthinker 2008-03-06  

加密cookie？不太明白意图。不管cookie加密与否，都需要在服务器端维护一个副本，只需要拿客户端的cookie到服务器端的副本比较验证就行了，既然都要验证，加不加密有什么区别呢。如果不在服务器上维护副本，又不用session，怎么维护状态呢。既然要在服务器上维护客户端cookie的副本，又跟使用session有合区别呢。我没看懂，还是楼主是想说sso？

6 楼 hexiaodong 2008-03-06  

为什么要加密cookie？用随机字符串作cookie值就行了，在集中式认证服务器上，把这个随机值和用户Id做一个映射。

5 楼 aunox 2008-03-06  

可以更改cookies内容。

4 楼 lumin 2008-03-05  

flyraincn 写道

能不能把cookie中的信息加密一下，服务端处理时解密一下，只要能防止cookie中的信息不被篡改就行了吧

cookies中的信息可以更改吗？应该不能吧！

3 楼 flyraincn 2008-03-04  

能不能把cookie中的信息加密一下，服务端处理时解密一下，只要能防止cookie中的信息不被篡改就行了吧

2 楼 highriver 2008-03-03  

看到有人推荐apache下的roller实现的是这种方式.我对rails不熟悉.只是想找一个完速的方案.因为领导要求将所有的httpSession替换,以便集群时避免session的复制.网上查了一下,想通过cookie来解决.哪位对roller熟悉呢?

1 楼 magicgod 2008-03-03  

参考一下rails 2.0的缺省session方式就是这样