现在的 Java web 用原生的 Session 做用户状态控制不安全吗？

[tctc4869]

如题，session，是指浏览器里的 cookie 里的那个 JSESSIONID 么？服务端根据 cookie 里的这个来做客户端状态控制？能凭那个 JSESSIONID 就能劫持攻击吗？如果是这样的话,那得自己用缓存框架，根据安全需要来定制用户状态控制了？或者用 token ？

[joooooker21]

还要考虑集群环境下 session 如果共享的问题

[joooooker21]

如果 -> 如何

[tctc4869]

@joooooker21 目前硬件环境还只是单个服务器，用 session，只是简单方便。如果是为了集群分布式，那是以后了，我现在比较关心的是 session 的安全问题

[jugelizi]

xss 和 csrf 了解下 如何防御

[chendy]

浏览器环境还是 cookie-session + csrf token

[dilu]

其实你这是逻辑问题，不是技术问题。
假设你用了 token，我作为一个第三者，都能拿到用户 session 了为什么不能拿到 token ？
要在逻辑上去处理，例如充值提现这种敏感操作需要短信验证等等。

[jorneyr]

源头泄漏没有什么好办法能够阻止了，一般的被劫持指的是中间环节。

[coang]

现在 web 前后端分离 没有 session 一说 一开始就使用自己模拟 session 往后扩展可以少一点坑

[tctc4869]

@coang 只能使用 redis 之类的远程缓存库框架来做 session 缓存吗

[coang]

@tctc4869 单机可以直接用 EhCache 到时候扩展再用别的也行..