安全會話管理相對 owasp top 10的漏洞來說是乙個較為冷門的話題，因為即使存在不安全的會話管理也並不能直接證明系統存在安全漏洞；所以對於這類問題白帽子即使發現了也不會報告，而開發者或許並不知道這樣設計存在安全隱患，或者認為沒有出現漏洞的情況下不會被觸發，所以也並不當回事。
會話維持是基於 cookie 和 session，瀏覽器請求時候會在 header 中傳送 sessionid，這個 sessionid 就是表名使用者的身份令牌。
現在舉個固定會話 id 例子，假設張三發現 *** **中存在乙個 xss 漏洞，並通過此 xss 漏洞獲取到了乙個 cookie 資訊，於是攻擊者就把這個 cookie 替換到自己的瀏覽器當中，想來冒充此使用者身份，但卻這個 cookie並沒有登入賬號，正要放棄利用的時候，發現賬號被登入；那可能有什麼原因呢？或許固定會話 id 問題所導致的安全風險增加。
本場 chat 主要內容：
會話可持續維持；
會話暴露風險；
固定會話 id；
domian 有效性；
安全會話設計。
閱讀全文:
執行緒不安全
背景 執行緒不安全 sleep 模擬網路延遲 後多執行緒併發訪問同乙個資源 方法1 同步 塊 語法 synchronized 同步鎖 catch interruptedexception e 方法2 同步方法 使用synchronizd修飾的方法，就叫同步方法，保證a執行緒執行該方法的時候，其他執行...
執行緒安全與不安全
list介面下面有兩個實現 乙個是arraylist 另外乙個是vector 從原始碼的角度來看 vector的方法前加了，synchronized 關鍵字，也就是同步的意思，sun公司希望vector是執行緒安全的，而希望arraylist是高效的，缺點就是另外的優點。在 items size 的...
執行緒安全 不安全
hashmap 執行緒不安全 可以用concurrenthashmap，arraylist也有concurrent hashtable 執行緒安全，給每個方法都加上了synchronnized關鍵字。和concurrenthashmap的區別是加鎖粒度不同，不是很懂。stringbuilder 執行...