Насколько важны сеансы cookieless? Должна ли поддержка веб-приложений поддерживать их?

Question

Мы программируем новую структуру веб-приложений (Second WAF). Мне было интересно, следует ли нам поддерживать сеансы cookieless или нет.

Кто использует его и кому это нужно?

Answer 1

мне было интересно, если мы должны поддерживать Cookieless сессии или нет.

Я думаю, что это во многом зависит от вашей пользовательской базы. В моей организации мы поддерживаем несколько приложений интрасети. Мы также контролируем наши настольные ПК. Поскольку мы контролируем среду рабочего стола, мы можем управлять настройками браузера и обеспечивать, чтобы файлы cookie были включены. Из-за этого и повышенного риска захвата сеанса нет никаких оснований для того, чтобы мы никогда не разрешали сеансы cookieless.

Кто пользуется им и кому это нужно?

Те, кому необходимо поддерживать сеансы, независимо от настроек браузера конечных пользователей, должны будут выполнять сеансы cookieless; имея в виду последствия этого.

Answer 2

Это хорошая особенность, но некоторые аспекты должны быть приняты во внимание

• , что если URL, содержащий идентификатор сеанса кэшируется веб-паук, такие как Google, вы будете в состоянии обеспечить содержание, если идентификатор в сеансе отличается от идентификатора, указанного в URL-адресе
• безопасность. Если вы недостаточно эффективно реализуете его, пользователи смогут отправлять URL-адрес другому пользователю, где URL-адрес содержит идентификатор сеанса и, следовательно, позволяет захватить сеанс первого пользователя. Например, в ASP.Net1.1 Cookieless сессии механизм was considered vulnerable