作者ninanne (nina & ann)
看板Network
標題[問答] session layer 認證運作問題
時間Sat Apr 8 20:30:26 2017
大家好
在下是個網頁的新手(有c程式/網路背景 但是沒接觸網頁)
想請問一個基本的運作問題
"如何針對個別使用者提供個別的內容"
個人有興趣的並非如何寫網頁 或是架網站
而是實際運作 譬如封包傳送的行為
所謂"對個別使用者提供個別的內容"
就像是常見的會員網頁一樣
登入後 就有會員專屬的頁面(如會員資料與購物車之類的)
關於這個架構 有兩個問題想請問
1. 認證
使用者上傳帳號密碼後
server端 可透過php script查詢sql的資料 比對帳密
但是帳密是如何傳送的呢?
之前有嘗試抓取學校email封包
發現login時 帳密是以明碼的形式 出現在http req中
直覺覺得 應該是學校偷懶吧 ...
請問正規的做法是什麼? Transport Layer Security (TLS) 嗎?
2. 維持session
認證成功之後 如何確認封包是從該已認證的使用者送出呢?
登入後 使用者抓取的圖片/網頁 都是透過獨立的http req
並不是使用當初認證時的socket
那server端是如何辨別的呢?
有看到有些網頁帶有php產生出來的流水號
按下送出時 會帶上該流水號
這樣的話 只要知道該流水號的電腦
不就都可以存取該已認證使用者的資料嗎?
原始的動機是想在自己的c程式上加上gui
所以打算採用website + cgi的方式(就像是網路分享器會有的控制介面)
以上是東找找西找找之後出現的疑問
由於自己平常很少接觸到session layer以上的部分
問題的觀點與描述方式可能有點奇怪
想找資料 連關鍵字也不大清楚(常常搜到寫網頁 或是架網站的文件)
請各位包涵
亦請各位介紹相關關鍵字 或是書籍/文件
thanks
--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 220.132.179.64
※ 文章網址: https://webptt.com/m.aspx?n=bbs/Network/M.1491654629.A.291.html
1F：推 deadwood: 1.透過https(htpp+TLS)加密傳輸 04/08 20:51
2F：→ deadwood: 2.通常是利用cookie留存連線狀態，瀏覽器送出資訊時 04/08 20:53
3F：→ deadwood: 會帶有cookie裡的資訊，server就可以辨識 04/08 20:54
4F：→ deadwood: 只要有辦法截取到該資訊，確實是可以竊取資料的沒錯 04/08 20:55
5F：→ deadwood: 所以https才會越來越多網頁服務使用 04/08 20:57
6F：→ deadwood: 只要有提供認證服務的網頁，用加密傳輸已經是基本了 04/08 20:57
7F：→ deadwood: 不過https也只是最起碼的防護(防封包攔截)就是了 04/08 21:02