web安全笔记（3）
1.1.2会话管理
处理用户访问的下一个工作是管理授权用户的会话。在成功登录到应用程序后，用户将从他们的浏览发送一系列的HTTP请求来访问一些页面和功能。同时，该应用程序将接收无数来自不同用户的其它的请求，有授权的用户，也有匿名的用户。为了实施有效的访问控制，应用程序需要一个方法来识别和处理这一系列来自每个不同用户的请求。
实际上大多数的web应用程序都通过为每个用户创建一个会话和发送给用户一个令牌(token)来识别会话。会话本身是位于服务上的一套数据结构，它被用来跟踪与应用程序交互的用户的状态。令牌是一个具有唯一性的字符串，应用程序将它映射到会话。当一个用户已经收到一个令牌时，浏览器在随后的每次HTTP请求中会自动将这个令牌提交给服务器，以使得应用程序能够将该请求与用户相关联起来。尽管许多应用程序使用隐藏的表单域或URL查询字符串来实现这一目的，但是HTTP cookies是传送会话令牌的标准方法。如果一个用户在指定的时间内没有产生一个请求，那么会话将被认为结束。对于之后的访问，web应用程序会要求你重新登录。
就攻击而言，会话管理机制高度地依赖于它的令牌的安全性。针对会话管理机制的多数攻击都是试图损害发送给别的用户的令牌。有可能的话，一个攻击者可以伪装成受害的授权用户来使用web应用程序。这一漏洞主要来自于两方面，其一是令牌生成的方法的缺陷，使得攻击者能够猜测到发送给别的用户的令牌，其二是令牌的后续处理的方法的缺陷，使得攻击者能够捕获别的用户的令牌。
有少部分的应用程序通过另外的识别方式省掉了会话令牌的需要，比如，如果一个HTTP的内建的授权机制被使用的话，那么浏览器对于每次的请求都自动重新提交用户的证书，使得应用程序能够直接从证书识别用户。也存在其它别的方法，应用程序存储状态信息在客户端而非服务器上，这些状态信息通常采用加密的形式以防止被篡改。
