接口安全性測試技術(3)：測試維度之攻擊會話管理

二、攻擊會話管理 HTTP協議本身是「無狀態」，「無連接」的，也就是說HTTP協議本身並不會記住客戶端訪問的上下文，也無法保存客戶端的各種狀態，這其中就包括登錄狀態。如果HTTP不能保存用戶的登錄狀態那就意味着用戶在每次訪問需要身份驗證的網站時都必須填寫用戶名及密碼，這裏的「每次訪問」是指每個單次的HTTP請求包括刷新一次頁面。爲了解決上述的問題Web應用程序就需要使用會話這個概念，即用戶登錄成功

>>阅读原文<<