作者ninanne (nina & ann)
看板Network
标题[问答] session layer 认证运作问题
时间Sat Apr 8 20:30:26 2017
大家好
在下是个网页的新手(有c程式/网路背景 但是没接触网页)
想请问一个基本的运作问题
"如何针对个别使用者提供个别的内容"
个人有兴趣的并非如何写网页 或是架网站
而是实际运作 譬如封包传送的行为
所谓"对个别使用者提供个别的内容"
就像是常见的会员网页一样
登入後 就有会员专属的页面(如会员资料与购物车之类的)
关於这个架构 有两个问题想请问
1. 认证
使用者上传帐号密码後
server端 可透过php script查询sql的资料 比对帐密
但是帐密是如何传送的呢?
之前有尝试抓取学校email封包
发现login时 帐密是以明码的形式 出现在http req中
直觉觉得 应该是学校偷懒吧 ...
请问正规的做法是什麽? Transport Layer Security (TLS) 吗?
2. 维持session
认证成功之後 如何确认封包是从该已认证的使用者送出呢?
登入後 使用者抓取的图片/网页 都是透过独立的http req
并不是使用当初认证时的socket
那server端是如何辨别的呢?
有看到有些网页带有php产生出来的流水号
按下送出时 会带上该流水号
这样的话 只要知道该流水号的电脑
不就都可以存取该已认证使用者的资料吗?
原始的动机是想在自己的c程式上加上gui
所以打算采用website + cgi的方式(就像是网路分享器会有的控制介面)
以上是东找找西找找之後出现的疑问
由於自己平常很少接触到session layer以上的部分
问题的观点与描述方式可能有点奇怪
想找资料 连关键字也不大清楚(常常搜到写网页 或是架网站的文件)
请各位包涵
亦请各位介绍相关关键字 或是书籍/文件
thanks
--
※ 发信站: 批踢踢实业坊(ptt.cc), 来自: 220.132.179.64
※ 文章网址: https://webptt.com/cn.aspx?n=bbs/Network/M.1491654629.A.291.html
1F：推 deadwood: 1.透过https(htpp+TLS)加密传输 04/08 20:51
2F：→ deadwood: 2.通常是利用cookie留存连线状态，浏览器送出资讯时 04/08 20:53
3F：→ deadwood: 会带有cookie里的资讯，server就可以辨识 04/08 20:54
4F：→ deadwood: 只要有办法截取到该资讯，确实是可以窃取资料的没错 04/08 20:55
5F：→ deadwood: 所以https才会越来越多网页服务使用 04/08 20:57
6F：→ deadwood: 只要有提供认证服务的网页，用加密传输已经是基本了 04/08 20:57
7F：→ deadwood: 不过https也只是最起码的防护(防封包拦截)就是了 04/08 21:02