ZH会话管理是创建、维护、检查和结束将用户连接到应用程序的临时状态的过程。 它允许网站在不同的请求中记住您的身份。 它还可以保留购物车、表单或登录帐户。
基本概念看似简单，但具体细节并不简单。网站会话、浏览器会话和浏览器配置文件分别管理状态的不同部分。即使网站已经结束会话，浏览器配置文件仍可能保留 Cookie。团队成员也可能误将另一个账号的环境重新打开。
| 速览 | 这意味着什么 |
|---|---|
| 主要用途 | 跨请求保持用户身份和应用程序状态连接 |
| 共同机制 | 会话 ID 或令牌，通常包含在 cookie 中 |
| 典型生命周期 | 创建、验证、续订、过期、撤销或注销 |
| 浏览器数据 | Cookie、本地存储、IndexedDB、缓存和登录状态 |
| 主要风险 | 劫持、固定、不安全存储和不完整注销 |
| 浏览器配置文件角色 | 保持客户端会话数据独立且可重用 |
什么是会话管理？
HTTP 将每个请求视为独立事件。后续请求本身无法自动识别先前请求的发送者，因此网站需要其他机制将这些请求关联起来。
当用户登录时，许多网站会在服务器上创建会话状态。 他们向浏览器发送一个会话 ID。 浏览器会在以后的请求中返回该 ID。
其他系统使用签名令牌在客户端上携带更多状态。 无论哪种方式，应用程序都必须决定会话是否有效以及用户可以做什么。
会话管理与身份验证和授权有关，但它既不等同于身份验证，也不等同于授权。
- 身份验证检查用户是谁。
- 授权决定用户可以访问的内容。
- 会话管理使该上下文在以后的请求中可用。
在在线商店中，登录可以证明您的身份。 权限决定您可以访问的内容。 该会话使您可以通过结帐从产品页面登录。
会话管理如何工作？
常见的网络会话遵循五个步骤。
- 认证
用户登录或开始需要保存状态的交互。
- 创造
应用程序创建会话状态或发出签名令牌。 它还设置了过期和访问的规则。
- 存储
浏览器接收会话标识符。 它通常存储在 cookie 中，并带有控制其发送地点和时间的规则。
- 证实
浏览器会在以后的请求中返回标识符。 应用程序在返回私有数据或接受操作之前对其进行检查。
- 结尾
会话在注销、过期、撤销或其他安全事件后结束。 应用程序应停止接受旧标识符。
最后一步造成的麻烦比人们想象的要多。 删除浏览器 cookie 可能不会使匹配的服务器会话无效。 安全注销也需要应用程序拒绝旧会话。
一个简单的会话管理示例
想象一下 Maya 管理一个客户支持仪表板。
她在轮班开始时签到。 应用程序创建一个会话并向浏览器发送一个会话 cookie。 当她打开票证、撰写回复或更改票证状态时，她的浏览器会包含该 cookie。
Maya 不会在每个页面上输入密码。 应用程序会识别她的会话并在敏感操作之前检查她的权限。
随后，玛雅走开。 空闲超时会结束会话。 当她返回时，应用程序要求她再次登录。
Maya 还在同一平台上为另一位客户提供支持。在同一个浏览器配置文件中打开两个账号可能会造成混淆。已保存的 Cookie 可能会使她误进入另一个账号。
独立的浏览器配置文件可以将每个客户的 Cookie 和站点存储相互隔离。
会话、Cookie、令牌、浏览器配置文件
这些术语经常一起出现。 他们描述不同的事物。
| 术语 | 意义 | 它存在的地方 | 重要限制 |
|---|---|---|---|
| 会话 | 临时交互及其相关状态 | 服务器、客户端或两者 | 它与浏览器窗口不一样 |
| 会话ID | 链接到会话状态的标识符 | 通常在 cookie 内 | 窃取有效会话标识符的人可能重复使用该标识符 |
| Cookie | 浏览器管理根据域和路径规则发送的数据 | 浏览器存储 | 并非每个 cookie 都代表一个登录会话 |
| 令牌 | 用于表示身份或访问权限的数据 | Cookie、内存或请求标头 | 签名令牌仍需要过期和撤销规划 |
| 浏览器配置文件 | 独立的浏览器数据环境 | 浏览器或配置文件管理工具 | 它不控制服务器端会话有效性 |
cookie 可以携带会话 ID。 它还可以存储语言选择或其他偏好。 使用 cookie 和会话作为可互换术语隐藏了这种差异。
浏览器指纹又不同了。 它是根据浏览器和设备信号构建的。 网站可能会在登录或安全审查期间对其进行检查。 它不是会话 cookie 本身。
同样的注意事项也适用于 sessionStorage。 它是一个与页面会话和源绑定的浏览器存储 API。 网站登录可能会使用它，但名称并不使其与经过身份验证的会话相同。
什么是浏览器会话管理？
浏览器会话管理有两个常见含义。
第一个是会话恢复。 浏览器会保存打开的选项卡和窗口，然后在重新启动或崩溃后恢复它们。
第二个是浏览器状态管理。 它涵盖 cookie、存储、缓存、登录状态、扩展和配置文件数据。 对于管理多个帐户的人来说，该层确定每个登录是否以其自己保存的状态重新打开。
会话保持
会话持久性允许用户以其保存的状态重新打开浏览器环境。 它减少了重复登录并将站点数据保存在一起。
持久性并不意味着永久访问。 网站可以使会话过期、撤销令牌或请求再次登录。 当服务器已经停止接受 cookie 时，浏览器可以保留它。
这可能会让人感到沮丧。 个人资料看起来完好无损，但帐户要求验证。 该网站可能只是结束了自己的会话。
会话隔离
会话隔离可防止一个浏览器环境与另一个浏览器环境共享客户端数据。 这包括 cookie、本地存储、缓存和 IndexedDB。
隔离有助于防止意外重叠。 它不会使会话不可见。 网站仍可能评估 IP地址、浏览器信号、帐户历史记录和用户行为。
多个会话和浏览器配置文件
多帐户浏览器 使单独的会话更容易大规模组织。 每个帐户都可以使用可重复使用的配置文件及其自己的浏览器数据和设置。
用户可以重新打开客户 A 的账号环境，而无需退出客户 B 的账号。清晰的配置文件名称也有助于避免在另一位客户的环境中误打开某位客户的账号。
我要遵守的规则很简单。 一个长期帐户应该有一份名称明确的个人资料。 该个人资料还应该具有明确的所有者或团队权限。
常见会话管理问题
会话问题可能来自应用程序安全、浏览器处理或日常操作。
会话劫持
当另一个人获得有效的会话标识符并充当用户时，就会发生会话劫持。 强密码无法修复被盗的会话。 标识符在存储和传输过程中需要保护。
会话固定
当攻击者导致用户使用攻击者已知的会话标识符登录时，就会发生会话固定。 应用程序可以通过在身份验证和重要权限更改后发布新标识符来降低这种风险。
不安全的存储或传输
会话标识符在传输过程中需要HTTPS。 Secure、HttpOnly 和 SameSite 等 Cookie 设置可以降低特定风险。 每个设置都有不同的工作。 它们都无法修复薄弱的服务器逻辑。
过期规则较弱
较长的会话可以让被盗的标识符有更多的时间被使用。 简短的内容会让真正的用户感到沮丧。 应用程序通常会平衡空闲超时与绝对最大生命周期。
未完全注销
注销按钮的作用不仅仅是删除可见的浏览器数据。 应用程序应使服务器上的会话无效。 否则，旧标识符在过期之前可能仍然有用。
混合浏览器配置文件
这是一个操作问题，而不是 Web 安全漏洞。 不相关帐户的一个配置文件可能会混淆状态或导致团队成员进入错误的帐户。
会话管理最佳实践
良好的实践取决于您控制会话的哪一方。
对于应用程序所有者
- 使用 HTTPS 进行完整的身份验证会话。
- 生成不可预测的会话标识符。
- 应用合适的 Secure、HttpOnly 和 SameSite cookie 设置。
- 登录或重大权限更改后发出新的会话 ID。
- 使用空闲和绝对过期规则。
- 注销和相关安全事件时使会话无效。
- 在适当的时候为用户提供一种清晰的方式来查看或结束活动会话。
- 避免将会话标识符放置在 URL 或日志中。
这些控件属于网站或应用程序。 浏览器工具无法将它们添加到第三方服务。
对于浏览器配置文件用户
- 将不相关的帐户保留在单独的配置文件中。
- 使用清晰的配置文件名称、组、标签和注释。
- 仅向需要的队友授予访问权限。
- 将导出的 cookie 和令牌视为敏感帐户数据。
- 合法账号工作期间保持网络和浏览器环境稳定。
- 项目或团队角色结束时删除个人资料访问权限。
- 当帐户在该配置文件中不再可用时，清除存储的数据。
人们常常只关注环境而忽略了人的部分。 当错误的人打开错误的配置文件时，仔细的设置仍然可能会失败。 为每个配置文件分配一个所有者可以更容易地追踪错误。 角色结束时删除访问权限将使前队友无法访问已保存的会话。
MoreLogin 如何支持浏览器会话管理
MoreLogin 在此拆分的浏览器端工作。 它组织进行会话的环境。
每个 MoreLogin 配置文件都可以保留自己的 Cookie、浏览器存储、登录状态、代理设置和指纹配置。 当前的 个人资料设置 还允许用户使用组、标签、注释和启动页面来组织个人资料。
用户可以返回到保存的环境，而不是在每次轮班之前重建它。
移动授权帐户的团队可以从 Chrome 导入帐户 Cookie。 Cookie 导入可以节省设置时间。 如果站点拒绝旧会话，则用户需要在该配置文件中再次登录。
MoreLogin 为授权个人资料提供 团队角色和权限。 经理可以删除个人资料访问权限，而无需向其他人发送新凭据。 该团队还避免在群聊中留下原始登录数据。
网络设置是另一层。 代理更改路由和公共 IP。 它不会替换会话令牌。 在 MoreLogin 中配置代理 指南展示了如何将代理详细信息分配给个人资料。
技术团队可以使用 浏览器配置文件 API 创建、启动、停止和查询配置文件工作流程。
在将团队转移到其中之前，我会测试一个配置文件。 检查关闭后仍然存在什么。 检查谁可以重新打开它。 检查网站在闲置一段时间后的响应情况。 这些小测试揭示的不仅仅是功能列表。
要点
会话管理在不同的请求之间提供网站连续性。 应用程序创建并验证会话。 浏览器存储允许交互继续的标识符和本地数据。 安全性取决于应用程序如何保护、更新、过期和使该会话失效。
浏览器配置文件解决了另一个问题。 他们将每个帐户的 cookie、存储、登录状态、代理设置和浏览器配置保存在自己的环境中。 这使得帐户切换更加容易，并减少错误的配置文件错误。 明确的权限还允许团队删除访问权限，而无需重建每个帐户环境。
会话管理常见问题解答
会话管理的主要功能是什么？
其主要功能是跨相关请求维护用户身份和应用程序状态。 它还控制会话的验证、续订、过期、撤销和结束方式。
会话管理与身份验证相同吗？
不。 身份验证在登录时检查用户。 会话管理将该经过身份验证的上下文携带到以后的请求中。 应用程序应继续检查会话及其权限是否有效。
会话和cookie一样吗？
不。 会话是交互和相关状态。 cookie 是一种可以携带会话标识符的浏览器机制。 Cookie 还可以存储首选项或其他与身份验证无关的数据。
关闭浏览器会结束会话吗？
并非总是如此。 持久性 cookie 可能会在浏览器重新启动后继续存在。 会话恢复也可能恢复浏览器状态。 服务器可以保持会话有效，直到注销、过期或撤销。
多个帐户可以使用单独的浏览器会话吗？
是的。 单独的浏览器配置文件可以将 cookie、存储和登录状态分开。 用户可以切换帐户，而无需混合保存的浏览器数据。
MoreLogin 如何保持浏览器会话独立？
MoreLogin 使用可重复使用的浏览器配置文件。 每个配置文件都可以维护单独的 cookie、存储、登录状态、代理设置和指纹配置。 用户还可以根据团队成员的角色为其分配配置文件访问权限。
