Skip to content

Commit c612a95

Browse files
astaxieastaxie
committed
完成了第二小节session实现部分
接下来讲解session劫持
1 parent fba1de1 commit c612a95

File tree

2 files changed

+157
-108
lines changed

2 files changed

+157
-108
lines changed

‎6.2.md‎

Lines changed: 149 additions & 108 deletions
Original file line numberDiff line numberDiff line change
@@ -17,161 +17,202 @@ session的基本原理是服务端为每一个session维护一份会话信息数
1717

1818
##Go实现session管理
1919
通过上面session创建过程的讲解，读者应该对session有了一个大体的认识，但是具体到动态页面技术里面，又是怎么实现session的呢？下面我们将结合session的生命周期（lifecycle），用Go语言来实现session管理。
20-
###session数据结构
20+
###session管理设计
2121
我们知道session管理需要有如下几个元素
2222

2323
- 全局session管理器
2424
- sessionid 全局唯一性
25-
- sessionid对应的存储对象数据结构 我们采用map[key]interface{}来存储
26-
- session过期设置
25+
- 每个客户生成一个session
26+
- session 的存储，可以存储到内存、文件、数据库等
27+
- session 过期处理
28+
29+
接下来让我们一一来讲解一下Go实现session管理的整个设计思路以及相应的代码示例：
30+
31+
###Session管理器
2732

2833
我们就来定义一个全局的session管理器
2934

3035
type SessionManager struct {
31-
cookieName string //识别cookie
32-
lock sync.Mutex //用来锁
33-
sessions map[string]*session //用来存储
34-
list *list.List //用来做gc
36+
cookieName string //private cookiename
37+
lock sync.Mutex // protects session
38+
provide Provide
39+
maxlifetime int64
3540
}
41+
42+
func NewSessionManager(provideName, cookieName string, maxlifetime int64) (*SessionManager, error) {
43+
provide, ok := provides[provideName]
44+
if !ok {
45+
return nil, fmt.Errorf("session: unknown provide %q (forgotten import?)", provideName)
46+
}
47+
return &SessionManager{provide: provide, cookieName: cookieName, maxlifetime: maxlifetime}, nil
48+
}
3649

3750
Go实现整个的流程应该也是这样的，在main包中创建一个全部的session管理器
3851

3952
var globalSessions *SessionManager
4053
//然后在init函数中初始化
4154
func init() {
42-
globalSessions = NewSessions()
55+
globalSessions = NewSessionManager("memory","gosessionid",3600)
4356
}
57+
58+
我们知道session是保存在服务器段的数据，那么他可以以任何的方式存在起来，可以存储在内存、数据库或者文件中。那么我们就可以抽象出来Provide接口，这个接口实现session管理器底层存储的问题。
4459

45-
接下来的例子中创建的session都是放在内存里面的，当然也可以放在存储中，这个后面会详细的讲解。
60+
type Provide interface {
61+
SessionInit(sid string) (Session, error)
62+
SessionRead(sid string) (Session, error)
63+
SessionDestroy(sid string) bool
64+
SessionGC(maxlifetime int64)
65+
}
66+
67+
- SessionInit函数实现初始化一个Session接口，然后返回一个新的Session接口
68+
- SessionRead函数根据sid返回一个已经存在的Session接口，如果不存在，那么内部调用SessionInit函数返回一个新的Session接口
69+
- SessionDestroy函数用来销毁对应sid的Session接口
70+
- SessionGC根据maxlifetime来删除过期的数据
4671

47-
接下来我们来定义针对每个用户的session对象
72+
那么Session接口需要实现怎么样的功能呢？有过PHP等Web开发经验的用户来说，Session操作一般也就几个功能，设置值、读取值、删除值，那么Session接口也就这三个功能
4873

49-
type session strcut{
50-
sid string //session id唯一标示
51-
timeAccessed time.Time //最后访问时间
52-
value map[string]interface{} //session里面存储的值
74+
type Session interface {
75+
Set(key interface{}, value interface{}) //set session value
76+
Get(key interface{}) interface{} //get session value
77+
Del(key interface{}) bool //delete session value
5378
}
79+
80+
>以上设计思路来源于database/sql/driver，定义好接口，然后session的存储实现相应的接口，这样就可以使用了，因此NewSessionManager也实现了如下功能函数Register,用来注册不同的session存储实现。
81+
82+
var provides = make(map[string]Provide)
83+
84+
// Register makes a session provide available by the provided name.
85+
// If Register is called twice with the same name or if driver is nil,
86+
// it panics.
87+
func Register(name string, provide Provide) {
88+
if driver == nil {
89+
panic("session: Register provide is nil")
90+
}
91+
if _, dup := provides[name]; dup {
92+
panic("session: Register called twice for provide " + name)
93+
}
94+
provides[name] = provide
95+
}
5496

55-
###创建
56-
首先我们要产生一个唯一的sessionid
97+
###全局唯一的Session ID
98+
99+
我们知道Session ID是用来识别每个访问Web应用的用户，因此必须保证sessionID都能有一个唯一的值，下面代码展示了如何实现这个唯一值：
57100

58101
func (this *SessionManager) sessionId() string {
59-
var n int = 24
60-
b := make([]byte, n)
61-
io.ReadFull(rand.Reader, b)
62-
return base64.URLEncoding.EncodeToString(b)
102+
b := make([]byte, 32)
103+
if _, err := io.ReadFull(rand.Reader, b); err != nil {
104+
return ""
105+
}
106+
return string(b)
63107
}
64108

65-
那么这个sessionid什么时候创建呢？我们在启动我们的处理器的时候来进行session的创建，这里我继续前面表单处理的例子说明：
109+
###session创建
110+
每个来访问的用户我们需要为他分配Session，然后根据Session里面的数据判断用户是否已经进行了相应的操作，那么我们如何来创建Session呢？SessionStart这个函数就是用来检测用户是否已经创建了Session，如果没有就创建之。
66111

67-
func login(w http.ResponseWriter, r *http.Request) {
68-
69-
fmt.Println("method:", r.Method) //获取请求的方法
70-
if r.Method == "GET" {
71-
t, _ := template.ParseFiles("login.gtpl")
72-
t.Execute(w, nil)
73-
} else {
74-
//请求的是登陆数据，那么执行登陆的逻辑判断
75-
fmt.Println("username:", r.Form["username"])
76-
fmt.Println("password:", r.Form["password"])
77-
}
78-
}
79-
80-
//开始一个新的sessionid
81-
//先通过cookiename查询是否已经中了sessionid，然后查找这个sessionid是否还在sessions里面
82-
//如果还在那么就更新timeAccessed，如果不存在就addnew一个
83-
func (this *SessionManager) SessionStart() {
84-
112+
func (this *SessionManager) SessionStart(w ResponseWriter, r *http.Request) (session Session) {
113+
this.lock.Lock()
114+
defer this.lock.Unlock()
115+
cookie, err := r.Cookie(this.cookieName)
116+
if err != nil || cookie.Value == "" {
117+
sid := this.sessionId()
118+
session = this.provide.SessionInit(sid)
119+
expiration := time.Now()
120+
expiration.Add(time.Duration(this.maxlifetime))
121+
cookie := http.Cookie{Name: this.cookieName, Value: sid, Expires: expiration}
122+
http.SetCookie(w, &cookie)
123+
} else {
124+
session = this.provide.SessionRead(cookie.Value)
125+
}
126+
return
85127
}
86128

87-
//销毁当前sessionid
88-
func (this *SessionManager) SessionDestroy() {
89-
129+
我们根据前面用户登陆的操作我们来看看如何应用：
130+
131+
func login(w http.ResponseWriter, r *http.Request) {
132+
session:=globalSessions.SessionStart(w,r)
133+
fmt.Println("method:", r.Method) //获取请求的方法
134+
if r.Method == "GET" {
135+
if session.Get("uid").(string) != "" {
136+
t, _ := template.ParseFiles("main.gtpl")
137+
}else{
138+
t, _ := template.ParseFiles("login.gtpl")
139+
}
140+
t.Execute(w, nil)
141+
} else {
142+
//请求的是登陆数据，那么执行登陆的逻辑判断
143+
fmt.Println("username:", r.Form["username"])
144+
fmt.Println("password:", r.Form["password"])
145+
}
90146
}
91147

92-
//新增一个session
93-
func (this *SessionManager) AddNew(key string, value map[string]interface{}) {
94-
newsid :=this.sessionId()
95-
newsess:=&session{"sid":newsid,"timeAccessed":time.Now(),"value":value}
96-
this.sessions[key]=newsess
97-
this.list.Push(newsess)
98-
}
99-
100-
###保持
101-
102-
103148
###操作值：设置、读取和删除
104-
session对象需要有设置和删除操作
149+
SessionStart函数返回的是一个实现了设置、读取、删除接口的Session接口，那么我们如何来对数据进行操作呢？
105150

106-
func (this *session) Set(key string, value interface{}){
107-
108-
}
109-
110-
func (this *session) Get(key string){
111-
112-
}
113-
114-
func (this *session) Del(key string){
115-
116-
}
117-
118-
当我们设置完值之后需要去更新相应的sessionmanager里面的值
151+
上面的例子已经大概的展示了读取数据的操作`session.Get("uid")`
119152

120-
func (this *SessionManager) update(element *list.Element, value map[string]interface{}) {
121-
this.lock.Lock()
122-
defer this.lock.Unlock()
123-
element.Value.(*session).value = value
124-
this.moveToFront(element)
125-
}
153+
那么我们再来看看详细的操作
126154

127-
###如何实时更新时间
128-
我们的session是有一定的时间限制的，那么如果用户一直在访问页面，那么我们需要实时的去更新这个时间，如何来做这一步呢？请看下面的函数处理
155+
func login(w http.ResponseWriter, r *http.Request) {
156+
session:=globalSessions.SessionStart(w,r)
157+
fmt.Println("method:", r.Method) //获取请求的方法
158+
if r.Method == "GET" {
159+
if session.Get("uid").(string) != "" {
160+
session.Del("password")
161+
t, _ := template.ParseFiles("main.gtpl")
162+
}else{
163+
t, _ := template.ParseFiles("login.gtpl")
164+
}
165+
t.Execute(w, nil)
166+
} else {
167+
//请求的是登陆数据，那么执行登陆的逻辑判断
168+
fmt.Println("username:", r.Form["username"])
169+
fmt.Println("password:", r.Form["password"])
170+
session.Set("username",r.Form["username"])
171+
session.Set("password",r.Form["password"])
172+
}
173+
}
129174

130-
func (this *SessionManager) moveToFront(element *list.Element) {
131-
this.lock.Lock()
132-
defer this.lock.Unlock()
133-
this.list.MoveToFront(element)
134-
element.Value.(*session).timeAccessed = time.Now()
135-
}
175+
通过上面的例子我们可以看到，这个Session的操作和操作key/value数据库类似，Set、Get、Del操作
136176

137-
138-
###销毁
139-
我们来看一下Go如何来管理销毁,我们启动一个单独的goroutine来做session的销毁：
140-
141-
func GC() {
142-
for true {
143-
time.Sleep(1e9 * 60)
144-
globalSessions.gc()
177+
我们知道Session里面有GC功能，那么只要当我们进行了相应的上面的任意一个操作，我们都需要去修改相应的Session实体的最后访问时间，这样当调用GC的时候就不会误删除还在使用的Session实体。
178+
179+
###session重置
180+
我们知道，Web应用中有用户退出这个操作，那么当用户退出应用的时候，我们是否需要进行session数据的重置，下面这个函数就是实现了这个功能：
181+
182+
//Destroy sessionid
183+
func (this *SessionManager) SessionDestroy(w ResponseWriter, r *http.Request) {
184+
cookie, err := r.Cookie(this.cookieName)
185+
if err != nil || cookie.Value == "" {
186+
return
187+
} else {
188+
this.lock.Lock()
189+
defer this.lock.Unlock()
190+
this.provide.SessionDestroy(cookie.Value)
191+
expiration := time.Now()
192+
cookie := http.Cookie{Name: this.cookieName, Expires: expiration}
193+
http.SetCookie(w, &cookie)
145194
}
146195
}
196+
147197

148-
func init() {
149-
go GC()
150-
}
198+
###session销毁
199+
我们来看一下Session管理器如何来管理销毁,只要我们在Main启动的时候启动：
151200

201+
func init() {
202+
globalSessions.GC()
203+
}
152204

153205
func (this *SessionManager) gc() {
154206
this.lock.Lock()
155207
defer this.lock.Unlock()
156-
var expire int64 = 60 * 15 // 15 minutes
157-
// back to front
158-
for {
159-
element := this.list.Back()
160-
if element == nil {
161-
break
162-
}
163-
if (element.Value.(*session).timeAccessed.Unix() + expire) < time.Now().Unix() {
164-
this.list.Remove(element)
165-
delete(this.table, element.Value.(*session).sid)
166-
} else {
167-
break
168-
}
169-
}
208+
this.provide.GC(this.maxlifetime)
209+
time.AfterFunc(this.maxlifetime, func() { this.GC() })
170210
}
171-
172-
211+
212+
我们可以看到GC充分利用了time包中的定时器功能，当大于`maxlifetime`之后调用GC函数，这样就可以保证`maxlifetime`时间内的session都是可用的，这个数字其实也可以用于统计在线用户数之类的。
173213

174214
##总结
215+
通过上面的介绍我们实现了一个Session管理器，定义了Provide接口，Provide接口用来提供Session存储实现。Session管理器用来在Web应用中实现全局的Session管理，接下来我们会实现内存的一个实现方式，供大家参考学习。
175216

176217
## links
177218
* [目录](<preface.md>)

‎6.3.md‎

Lines changed: 8 additions & 0 deletions
Original file line numberDiff line numberDiff line change
@@ -1,4 +1,12 @@
11
#6.3 预防session劫持
2+
session劫持是一种比较严重的安全威胁，也是一种广泛存在的威胁，在session技术中，客户端和服务端通过传送session的标识符来维护会话，但这个标识符很容易就能被嗅探到，从而被其他人利用，这属于一种中间人攻击。
3+
4+
本部分通过一个实例来说明何为会话劫持，通过这个实例，读者其实更能理解session的本质。
5+
##session劫持过程
6+
7+
##session劫持防范
8+
###cookieonly和token
9+
###间隔生成新的SID
210

311

412
## links

0 commit comments

Comments
 (0)