29｜Session与Cookie：账户体系的安全设计原理

请教老师几个问题啊： Q1：session有哪几个方面决定？ 同一个用户，用同一个浏览器，用两个tab登录，是一个session吗？ 同一个用户，用不同浏览器登录，是一个session吗？ 我的理解：session由这三项决定： 电脑 + 浏览器 + 用户 这里的“用户”是指用户账号。 一个用户在多个电脑上登录，算是不同的session。 一个用户在一台电脑上用不同浏览器登录是不同session。 同一浏览器但不同tab，是同一个session. 我的理解是否对？ Q2：session认证的第三步，"auth req"是浏览器发送、但用户无感知的吗？对于用户来说，是直接访问网站资源，不会再去做登录、鉴权一类的操作，对吗？ Q3：现在cookie还被大量使用吗？ 如果各个主流网站还依赖cookie，如果浏览器禁止cookie怎么办？另外，cookie容易被黑客破解吗？ Q4：会话固定攻击图中，第一步login，网站为什么返回sessionid？ 既然攻击者没有用户名和密码，他也没法login啊。 login失败，网站怎么会返回sessionid？

请问 sessionid存在cookie中 这个很容易copy走 感觉这个设计很不安全呀？ 为啥目前这是普遍的登陆认证方式呀？多谢

为什么将 session 信息放置在 cookie 中会更加安全吗？ 1.默认情况下，浏览器会强制同源策略，这意味着一个网站的JS代码不能访问其他域的 Cookie。 2.Cookie 可以具有不同的过期时间，允许应用程序精确控制会话的持久性。

会话固定攻击举例，感觉不严谨，受攻击网站通常会返回一个set-cookie（新的jsessionId）给受害者，攻击者此时使用原先的sessionId是无法保持登录的认证的

学习打卡

补充一个问题： Q5：token部分，两个header是什么关系？ token部分，JSW需要保存在header中；JWT的构成图中，也有一个header。我的理解：前一个header，是指http消息的请求头。后一个header，是JWT内容的构成部分。我的理解对吗？

在基于 session 的认证一节的攻击案例中，为什么攻击者没有登录的情况下服务器就会返回一个sessionid？而且这个sessionid还是需要用户登录后才可以通过验证？现实业务真的有这种设计逻辑吗？