客户端(ios和android)与服务器之间的会话管理(session和cookie)

时间：2015-01-21 22:28:39 阅读：321 评论：0 收藏：0 [点我收藏+]

项目前提:
客户端访问服务器接口需要携带根据username和password生成的access_token,
即访问所有(除获取access_token的接口)都要携带access_token,
服务器端通过拦截器判断用户access_token是否失效等.

应用场景:
1.浏览器访问服务器获取access_token接口,通过username和password获取access_token.
2.服务器根据username和password生成access_token,并将access_token放到session中并返回,如下:
HttpSession httpSession = request.getSession(true);
httpSession.setAttribute("access_token", accessToken);
3.浏览器访问所有接口(除获取access_token的接口)时都携带access_token,服务器端作如下对比:
HttpSession httpSession = request.getSession(true);
String reqeustAccessToken = request.getParameter("access_token");
String sessionAccessToken = (String)httpSession.getAttribute("access_token");
if(reqeustAccessToken != null && reqeustAccessToken.equals(sessionAccessToken)) {
//如果相等,说明access_token是有效的.
}

测试结果:
1.打开浏览器,通过chrome的rest模拟插件,调用服务器获取access_token的接口,
通过username和password获取access_token.
2.携带access_token访问其他服务接口,没有问题,可以正常获取数据.
3.关闭浏览器重新携带刚才获取的access_token访问获取数据的接口,提示access_token失效.
通过如上测试,说明是没有问题的.

发现问题:
通过网页的形式访问是没有问题的,如上,其实可以理解为,打开浏览器,其实就是打开了一个会话,
关闭浏览器,即关闭了会话.
问题是:客户端,即ios和android每次访问接口就相当于打开了一个会话,所以单纯通过上面的机制
是有问题的,即携带刚刚获取的access_token访问其他服务接口时,打印sessionAccessToken为空.

解决方案：
解决方案是:引入cookie机制？即客户端必须支持cookie,每次都将访问服务接口返回的cookie存起来,
下次访问接口时都携带上次的cookie,这样问题就解决了.

问题:服务器中只是对session进行了解析,如下:
HttpSession httpSession = request.getSession(true);
String reqeustAccessToken = request.getParameter("access_token");
String sessionAccessToken = (String)httpSession.getAttribute("access_token");
if(reqeustAccessToken != null && reqeustAccessToken.equals(sessionAccessToken)) {
//如果相等,说明access_token是有效的.
}
并没有对cookie做任何解析,服务器是自动完成工作的？

工作原理：
1.客户端访问服务器获取access_token接口,通过username和password获取access_token.
2.服务器根据username和password生成access_token,并将access_token放到session中并返回,如下:
HttpSession httpSession = request.getSession(true);
httpSession.setAttribute("access_token", accessToken);
注意:session的管理机制可以理解为一个集合,这个集合存放在内存中.
3.客户端获取access_token后,将服务器返回的cookie添加到本地,注意:cookie中存放的是session信息.
4.客户端再次携带access_token访问服务器接口,同时携带上cookie信息.
5.服务器端再执行HttpSession httpSession = request.getSession(true);时,服务器会自动读取cookie信息,
获取cookie中session信息,再根据session信息,从session集合中获取对应的session,然后再从session中获取
sessionAccessToken,最后做比较,判断access_token是否有效.

标签：cookie session 客户端和服务器浏览器和服务器会话管理

原文地址：http://blog.csdn.net/sidongxue2/article/details/42980427

踩

(0)

评论一句话评论（0）

分享档案

更多>

2021年07月29日 (22)
2021年07月28日 (40)
2021年07月27日 (32)
2021年07月26日 (79)
2021年07月23日 (29)
2021年07月22日 (30)
2021年07月21日 (42)
2021年07月20日 (16)
2021年07月19日 (90)
2021年07月16日 (35)

周排行