Web身份认证与状态管理：Cookie、Session 与 JWT，从零基础到精通，收藏这篇就够了！

最新推荐文章于 2025-06-08 22:51:33 发布
最新推荐文章于 2025-06-08 22:51:33 发布
阅读量1.1k 收藏 8
点赞数 25
CC 4.0 BY-SA版权
分类专栏： 互联网 计算机 文章标签： 前端 数据库 mysql
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.youkuaiyun.com/Libra1313/article/details/146352538

.markdown-body pre,.markdown-body pre>code.hljs{background:#fff;color:#333}.hljs-comment,.hljs-meta{color:#969896}.hljs-emphasis,.hljs-quote,.hljs-strong,.hljs-template-variable,.hljs-variable{color:#df5000}.hljs-keyword,.hljs-selector-tag,.hljs-type{color:#d73a49}.hljs-attribute,.hljs-bullet,.hljs-literal,.hljs-symbol{color:#0086b3}.hljs-name,.hljs-section{color:#63a35c}.hljs-tag{color:#333}.hljs-attr,.hljs-selector-attr,.hljs-selector-class,.hljs-selector-id,.hljs-selector-pseudo,.hljs-title{color:#6f42c1}.hljs-addition{color:#55a532;background-color:#eaffea}.hljs-deletion{color:#bd2c00;background-color:#ffecec}.hljs-link{text-decoration:underline}.hljs-number{color:#005cc5}.hljs-string{color:#032f62}

引言

在 Web 开发中，Cookie、Session 和 JWT 是三种常见的身份认证和状态管理方式。它们在用户身份验证、会话管理以及跨域访问等方面扮演着重要角色。然而，不同的机制有不同的特点、适用场景和安全风险。

外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传

一、认证、授权和凭证

1.1 认证的定义

  • 简单来说，认证就是确认用户的真实身份，确保“你就是你”。

  • 在网络环境中，认证通常通过以下几种方式实现：

    • 使用用户名和密码登录
    • 通过邮箱发送登录链接
    • 通过手机接收验证码
    • 只要能接收到邮箱或验证码，系统就默认你是账户的合法拥有者

1.2 授权的定义

  • 授权是指用户允许第三方应用访问其特定资源的权限

    • 例如，在安装手机应用时，应用会请求访问相册、地理位置等权限
    • 在登录微信小程序时，小程序会请求获取昵称、头像、地区、性别等个人信息

  • 常见的授权实现方式包括：cookie、session和token

1.3 凭证的定义

  • 凭证是实现认证和授权的基础，它是一种身份标识（证书），用于标记访问者的身份。

二、什么是Cookie、Session和JWT

2.1 Cookie

  • 定义：Cookie是服务器发送到用户浏览器并保存在本地的一小块数据。
  • 作用：
    • 用于在客户端存储用户的会话信息或状态。
    • 每次浏览器向服务器发送请求时，会自动携带Cookie，从而实现身份验证或状态保持。
  • 特点：
    • 存储在客户端（浏览器）。
    • 有大小限制（通常为4KB）。
    • 可以设置过期时间，分为会话Cookie（关闭浏览器后失效）和持久Cookie（根据过期时间失效）。
  • 应用场景：
    • 保存用户登录状态。
    • 记录用户的偏好设置（如语言、主题）。

2.2 Session

  • 定义：Session是服务器端存储用户会话信息的一种机制。
  • 作用：
    • 用于在服务器端保存用户的会话数据，通常与Cookie配合使用。
    • 服务器会为每个用户创建一个唯一的Session ID，并通过Cookie传递给客户端。
  • 特点：
    • 存储在服务器端，安全性较高。
    • 依赖于Cookie来传递Session ID。
    • 会话结束后（如用户关闭浏览器），Session数据可能会被清除（取决于服务器配置）。
  • 应用场景：
    • 保存用户的登录状态。
    • 存储用户的临时数据（如购物车信息）。

2.3 JWT（JSON Web Token）

  • 定义：JWT是一种开放标准（RFC 7519），用于在各方之间安全地传输信息作为JSON对象。
  • 作用：
    • 用于在客户端和服务器之间传递认证信息或声明。
    • 通常用于无状态的分布式系统中。
  • 结构：
    • Header：包含令牌类型和签名算法（如HMAC SHA256）。
    • Payload：包含声明（如用户ID、角色、过期时间等）。
    • Signature：用于验证令牌的完整性和真实性。
  • 特点：
    • 存储在客户端（如LocalStorage或Cookie）。
    • 自包含性：所有信息都存储在令牌中，无需额外查询数据库。
    • 无状态性：服务器无需保存会话信息，适合分布式系统。
  • 应用场景：
    • 用户认证与授权。
    • 跨域身份验证（如单点登录SSO）。
    • API接口的安全验证。

三、它们是如何维持用户登录状态的

3.1 Cookie

  • 流程

前端发起登录请求，将用户名密码传给服务端，服务端在数据库查询进行用户名密码的认证，如果认证成功，会响应用户名到前端，前端把用户名保存到cookie，cookie保存在浏览器这一端，登录成功之后的所有请求都会自动带上这个cookie，这样就维持了用户的登录状态。

外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传

3.2 Session

  • 流程

前端发起登录请求，将用户名密码传给服务端，服务端在数据库查询进行用户名密码的认证，如果认证成功，就可以往session当中存入当前的用户信息，然后进行响应，会在响应头里存入一个set-cookie的属性，然后再把当前session的唯一ID放在属性当中，前端会自动在cookie当中存入当前的session ID,登录成功之后，下一次的请求就会自动在请求头当中设置cookie的信息，服务端拿到cookie中的session ID就可以得到这一次的请求所对应的session信息了，那么就可以获取到当前登录的用户信息，以维持当前登录状态。

外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传

3.3 JWT

  • 流程

前端发起登录请求，将用户名密码传给服务端，服务端在数据库查询进行用户名密码的认证，如果认证成功，服务端会生成一个JWT token（包含一些用户的基本非敏感信息，用户ID和用户名等）并返回给前端，前端保存这个token，在后续请求接口时在header中添加Authorization字段，并且把token放在该字段的value中，服务端通过header获取token之后，校验token的签名是否有效，若有效且token没有过期，则通过payload获取用户信息，以维持当前登录状态。

外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传

JWT 的原理

JWT（JSON Web Token）是一种紧凑且自包含的令牌格式，通常用于在客户端和服务器之间安全地传递信息。它的结构分为三部分，格式为：xxx.xxx.xxx，分别对应Header、Payload和Signature。

1. Header（头部）
  • 内容：
    • alg：签名算法，例如HS256（HMAC SHA-256）。
    • typ：令牌类型，固定为JWT。
  • 特点：
    • 经过Base64编码，公开可见。
    • 用于描述令牌的元数据和签名算法。

示例：

{
  "alg": "HS256",
  "typ": "JWT"
}
2. Payload（荷载）
  • 内容：
    • 包含用户的声明（claims），例如：
      • sub：用户ID（subject）。
      • name：用户名。
      • exp：过期时间（expiration time）。
      • 其他自定义字段（如角色、权限等）。
  • 特点：
    • 经过Base64编码，公开可见。
    • 存储非敏感数据，因为可以被解码查看。

示例：

{
  "sub": "1234567890",
  "name": "John Doe",
  "exp": 1516239022
}
3. Signature（签名）
  • 生成方式：
    1. 将Header和Payload分别进行Base64编码，得到两个字符串。
    2. 将这两个字符串用.拼接起来，形成base64UrlEncode(Header) + "." + base64UrlEncode(Payload)。
    3. 使用Header中指定的签名算法（如HS256）和密钥（secret_key）对拼接后的字符串进行签名，生成签名部分。
  • 作用：
    • 用于验证令牌的完整性和真实性，防止数据被篡改。

签名公式：

Signature = HMACSHA256(
  base64UrlEncode(Header) + "." + base64UrlEncode(Payload),
  secret_key
)
4. JWT 的验证过程
  1. 拆分Token：
    • 将JWT按.拆分为三部分：Header、Payload和Signature。
  2. 解码Header和Payload：
    • 对Header和Payload进行Base64解码，获取原始数据。
  3. 重新生成签名：
    • 使用相同的密钥（secret_key）和签名算法，对解码后的Header和Payload重新生成签名。
  4. 比对签名：
    • 将重新生成的签名与JWT中的Signature部分进行比对。
    • 如果一致，说明Token未被篡改，Payload中的数据可信。
    • 如果不一致，说明Token可能被篡改，验证失败。
5. JWT 的特点
  • 优点：
    • 自包含：所有信息都存储在Token中，无需额外查询数据库。
    • 无状态：服务端无需保存会话信息，适合分布式系统。
    • 安全性：通过签名防止数据被篡改。
  • 缺点：
    • Token一旦签发，在有效期内无法直接失效（需借助黑名单等机制）。
    • 如果未使用HTTPS，Token可能被窃取。

四、cookie、session和jwt的区别

4.1 存储位置

  • Cookie：数据存储在客户端（浏览器），每次请求时都会自动携带到服务器。
  • Session：数据存储在服务器，客户端通过 sessionId 访问服务器上的数据。
  • JWT：数据存储在客户端（一般保存在 localStorage、sessionStorage 或 cookie），服务器只负责验证，不存储用户状态。

4.2 安全性

  • Cookie：

    • 如果未设置 HttpOnly，JavaScript 可以访问，容易受到 XSS（跨站脚本攻击）。
    • 如果未设置 Secure，在 HTTP 连接中可能被劫持（中间人攻击）。

  • Session：

    • 服务器存储 Session 数据，较 Cookie 更安全。
    • 需要 Session 机制配合 cookie 或 token 进行身份识别。

  • JWT：

    • 采用签名（HMAC 或 RSA）保证数据完整性，但不能防止被窃取。
    • 一旦被拦截，由于 JWT 本身包含所有信息，可能导致更严重的数据泄露问题。

4.3 数据存储

  • Cookie：一般存储少量数据（4KB 限制）。
  • Session：存储在服务器，理论上可以存储大量数据，但会占用服务器资源。
  • JWT：存储在客户端，大小一般受限于 localStorage 或 cookie，但通常比 Cookie 能存储更多信息。

4.4 适用场景

  • Cookie：

    • 适用于存储少量的、对安全性要求不高的数据，如用户偏好设置。
    • 可用于轻量级的身份认证（如 remember me 功能）。

  • Session：

    • 适用于需要服务器存储用户信息的场景，如购物车、用户登录状态管理。
    • 适用于需要更高安全性的应用。

  • JWT：

    • 适用于无状态认证（Stateless Authentication），如单点登录（SSO）。
    • 适用于微服务架构，因为不需要服务器存储用户状态信息。

4.5 是否支持跨域

  • Cookie：默认不支持跨域访问，但可以通过 SameSite=None 和 CORS 配置来实现跨域。
  • Session：依赖 Cookie 机制，默认不能跨域。
  • JWT：可以在多个服务器或前后端分离的架构中使用，前提是正确配置 CORS。

4.6 是否支持无状态

  • Cookie：有状态（由服务器验证）。
  • Session：有状态（需要服务器存储）。
  • JWT：无状态（无需服务器存储，只需要验证签名）。

4.7 优缺点对比

特性CookieSessionJWT
存储位置客户端服务器客户端
安全性较低较高取决于存储方式
服务器压力无高无
适用场景轻量级存储需要存储用户状态无状态认证、微服务
是否支持跨域受限受限支持
是否可篡改易被篡改不易篡改签名验证防篡改
适合单点登录（SSO）否否是

五、注意事项

5.1 使用 Cookie 时需要注意

  1. 安全配置

    • 设置 HttpOnly，防止 JavaScript 访问，避免 XSS 攻击。

    • 设置 Secure，确保 Cookie 仅在 HTTPS 连接下传输，防止中间人攻击。

    • 使用 SameSite 限制 Cookie 发送行为，防止 CSRF 攻击：

      • Strict：不允许跨站请求携带 Cookie（最安全）。
      • Lax（默认）：允许部分跨站请求（如 GET）。
      • None（需要 Secure）：允许所有跨站请求，适用于跨域场景。

  2. 存储敏感信息

    • 避免存储用户密码等敏感信息，建议只存储 token 或 sessionId。
    • 若存储 JWT，建议设置较短的 httpOnly 失效时间，并配合 refresh token。

  3. Cookie 大小限制

    • 单个 Cookie 最大 4KB，存储过多数据会导致请求变大，影响性能。

  4. Cookie 过期时间

    • 使用 Expires 或 Max-Age 控制过期时间：

      • Session Cookie（不设置过期时间）：浏览器关闭时删除。
      • Persistent Cookie（设置 Max-Age）：可持久化存储。

  5. 跨域问题

    • 通过 Access-Control-Allow-Credentials: true 允许跨域携带 Cookie，但要确保 CORS 服务器正确配置。

5.2 使用 Session 时需要注意

  1. 存储方式

    • 默认存储在服务器内存中，适用于小规模应用，但大规模应用建议使用 Redis 或 数据库 存储，提高扩展性。
    • 如果 Session 过多，会占用服务器资源，影响性能。

  2. Session ID 传输

    • 通常通过 Cookie 传递 sessionId，但也可以通过 URL 传递（不推荐，容易被劫持）。
    • 使用 Secure 和 HttpOnly 保护存储 sessionId 的 Cookie，防止 XSS 和劫持攻击。

  3. Session 过期策略

    • 设定合理的过期时间，避免长期占用服务器资源：

      • 短期会话：如 30 分钟内无操作自动销毁。
      • 长期登录：可以存储 Remember Me 机制，让用户保持登录状态。

  4. 分布式应用

    • 在多服务器环境下，Session 需要做 共享存储，避免用户在不同服务器登录时丢失 Session。

    • 方案：

      • Redis/Memcached：将 Session 存储到缓存，提高查询效率。
      • 数据库：适用于持久化存储 Session，但查询性能不如缓存。

  5. Session 固定攻击（Session Fixation）

    • 避免用户在认证前后使用相同的 Session ID，建议：

      • 在登录成功后，重新生成 Session ID。
      • 结合 IP 地址、User-Agent 进行身份校验，防止 Session 被盗用。

5.3 使用 JWT 时需要注意

  1. 避免 JWT 过长

    • JWT 由 Header.Payload.Signature 组成，存储过多数据会导致请求体积变大，影响性能。
    • 建议只存储必要信息（如用户 ID、角色权限），避免存储敏感数据。

  2. Token 过期策略

    • JWT 一旦生成，服务器无法主动销毁（除非存储黑名单）。

    • 解决方案：

      • 短期 Token（Access Token） ：设置较短过期时间（如 15~30 分钟）。
      • 长期 Token（Refresh Token） ：存储在数据库，用于刷新 Access Token，降低频繁登录的用户体验问题。

  3. 存储位置

    • Cookie（推荐） ：搭配 HttpOnly 和 Secure 提高安全性。
    • localStorage / sessionStorage（不推荐） ：容易被 XSS 攻击获取，增加被盗风险。

  4. 避免 Token 泄露

    • 一旦 Token 被窃取，攻击者可随意使用，因此：

      • 使用 HTTPS 传输 Token，防止中间人攻击。
      • 不在 URL 传递 Token（容易被日志或浏览器缓存暴露）。
      • 可结合 指纹识别（如 IP 绑定、设备 ID） 限制 Token 使用范围。

  5. Token 失效处理

    • JWT 无法主动撤销，因此可以：

      • 黑名单机制：存储废弃 Token 列表，但需要占用服务器资源。
      • 数据库存储 Token：在用户登出时，使数据库中该 Token 失效。

  6. 签名算法选择

    • 避免使用对称加密（如 HS256），尽量使用 非对称加密（如 RS256） ，提高安全性：

      • HS256（HMAC） ：密钥泄露后攻击者可伪造 Token。
      • RS256（RSA） ：公钥验证，私钥签名，更安全。

  7. 防止重放攻击

    • 使用 jti（JWT ID） 或 nonce（唯一随机数）确保 Token 不能被重复使用。
    • 结合时间戳 iat 和 exp，拒绝过期或重复请求。

结语

无论是 Cookie、Session 还是 JWT，它们各有优劣，并没有绝对的“最佳方案”，而是需要根据业务需求和安全策略做出合理选择。对于一般的 Web 应用，Session 适用于服务器端身份管理，JWT 更适合分布式和无状态认证，而 Cookie 则在存储少量信息时更为便捷。在实际开发中，除了选择合适的方案，还需要注意安全性，避免常见攻击风险，如 XSS、CSRF、Session 盗用 和 Token 泄露，以确保应用的稳定性和数据安全。

黑客/网络安全学习路线

对于从来没有接触过黑客/网络安全的同学，目前网络安全、信息安全也是计算机大学生毕业薪资相对较高的学科。

大白也帮大家准备了详细的学习成长路线图。可以说是最科学最系统的学习路线，大家跟着这个大的方向学习准没问题。

这也是耗费了大白近四个月的时间，吐血整理，文章非常非常长，觉得有用的话，希望粉丝朋友帮忙点个**「分享」「收藏」「在看」「赞」**

网络安全/渗透测试法律法规必知必会****

今天大白就帮想学黑客/网络安全技术的朋友们入门必须先了解法律法律。

【网络安全零基础入门必知必会】网络安全行业分析报告（01）

【网络安全零基础入门必知必会】什么是黑客、白客、红客、极客、脚本小子？（02）

【网络安全零基础入门必知必会】网络安全市场分类（03）

【网络安全零基础入门必知必会】常见的网站攻击方式（04）

【网络安全零基础入门必知必会】网络安全专业术语全面解析（05）

【网络安全入门必知必会】《中华人民共和国网络安全法》（06）

【网络安全零基础入门必知必会】《计算机信息系统安全保护条例》（07）

【网络安全零基础入门必知必会】《中国计算机信息网络国际联网管理暂行规定》（08）

【网络安全零基础入门必知必会】《计算机信息网络国际互联网安全保护管理办法》（09）

【网络安全零基础入门必知必会】《互联网信息服务管理办法》（10）

【网络安全零基础入门必知必会】《计算机信息系统安全专用产品检测和销售许可证管理办法》（11）

【网络安全零基础入门必知必会】《通信网络安全防护管理办法》（12）

【网络安全零基础入门必知必会】《中华人民共和国国家安全法》（13）

【网络安全零基础入门必知必会】《中华人民共和国数据安全法》（14）

【网络安全零基础入门必知必会】《中华人民共和国个人信息保护法》（15）

【网络安全零基础入门必知必会】《网络产品安全漏洞管理规定》（16）

网络安全/渗透测试linux入门必知必会

【网络安全零基础入门必知必会】什么是Linux？Linux系统的组成与版本？什么是命令（01）

【网络安全零基础入门必知必会】VMware下载安装，使用VMware新建虚拟机，远程管理工具（02）

【网络安全零基础入门必知必会】VMware常用操作指南（非常详细）零基础入门到精通，收藏这一篇就够了（03）

【网络安全零基础入门必知必会】CentOS7安装流程步骤教程（非常详细）零基入门到精通，收藏这一篇就够了（04）

【网络安全零基础入门必知必会】Linux系统目录结构详细介绍（05）

【网络安全零基础入门必知必会】Linux 命令大全（非常详细）零基础入门到精通，收藏这一篇就够了（06）

【网络安全零基础入门必知必会】linux安全加固（非常详细）零基础入门到精通，收藏这一篇就够了（07）

网络安全/渗透测试****计算机网络入门必知必会****

【网络安全零基础入门必知必会】TCP/IP协议深入解析（非常详细）零基础入门到精通，收藏这一篇就够了（01）

【网络安全零基础入门必知必会】什么是HTTP数据包&Http数据包分析（非常详细）零基础入门到精通，收藏这一篇就够了（02）

【网络安全零基础入门必知必会】计算机网络—子网划分、子网掩码和网关（非常详细）零基础入门到精通，收藏这一篇就够了（03）

网络安全/渗透测试入门之HTML入门必知必会

【网络安全零基础入门必知必会】什么是HTML&HTML基本结构&HTML基本使用（非常详细）零基础入门到精通，收藏这一篇就够了1

【网络安全零基础入门必知必会】VScode、PhpStorm的安装使用、Php的环境配置，零基础入门到精通，收藏这一篇就够了2

【网络安全零基础入门必知必会】HTML之编写登录和文件上传（非常详细）零基础入门到精通，收藏这一篇就够了3

网络安全/渗透测试入门之Javascript入门必知必会

【网络安全零基础入门必知必会】Javascript语法基础（非常详细）零基础入门到精通，收藏这一篇就够了（01）

【网络安全零基础入门必知必会】Javascript实现Post请求、Ajax请求、输出数据到页面、实现前进后退、文件上传（02）

网络安全/渗透测试入门之Shell入门必知必会

【网络安全零基础入门必知必会】Shell编程基础入门（非常详细）零基础入门到精通，收藏这一篇就够了（第七章）

网络安全/渗透测试入门之PHP入门必知必会

【网络安全零基础入门】PHP环境搭建、安装Apache、安装与配置MySQL（非常详细）零基础入门到精通，收藏这一篇就够（01）

【网络安全零基础入门】PHP基础语法（非常详细）零基础入门到精通，收藏这一篇就够了（02）

【网络安全零基础入门必知必会】PHP+Bootstrap实现表单校验功能、PHP+MYSQL实现简单的用户注册登录功能（03）

网络安全/渗透测试入门之MySQL入门必知必会

【网络安全零基础入门必知必会】MySQL数据库基础知识/安装（非常详细）零基础入门到精通，收藏这一篇就够了（01）

【网络安全零基础入门必知必会】SQL语言入门（非常详细）零基础入门到精通，收藏这一篇就够了（02）

【网络安全零基础入门必知必会】MySQL函数使用大全（非常详细）零基础入门到精通，收藏这一篇就够了（03）

【网络安全零基础入门必知必会】MySQL多表查询语法（非常详细）零基础入门到精通，收藏这一篇就够了（04）

****网络安全/渗透测试入门之Python入门必知必会

【网络安全零基础入门必知必会】之Python+Pycharm安装保姆级教程，Python环境配置使用指南，收藏这一篇就够了【1】

【网络安全零基础入门必知必会】之Python编程入门教程（非常详细）零基础入门到精通，收藏这一篇就够了（2）

python开发之手写第一个python程序

python开发笔记之变量

python基础语法特征

python开发数据类型

python开发笔记之程序交互

python入门教程之python开发学习笔记基本数据类型

python入门教程之python开发笔记之格式化输出

python入门教程之python开发笔记基本运算符

python入门教程python开发基本流程控制if … else

python入门教程之python开发笔记流程控制之循环

python入门之Pycharm开发工具的使用

python入门教程之python字符编码转换

python入门之python开发字符编码

python入门之python开发基本数据类型数字

python入门python开发基本数据类型字符串

python入门python开发基本数据类型列表

python入门python开发基本数据类型

python入门教程之python开发可变和不可变数据类型和hash

python入门教程python开发字典数据类型

python入门之python开发笔记基本数据类型集合

python开发之collections模块

python开发笔记之三元运算

【网络安全零基础入门必知必会】之10个python爬虫入门实例(非常详细)零基础入门到精通，收藏这一篇就够了（3）

****网络安全/渗透测试入门之SQL注入入门必知必会

【网络安全渗透测试零基础入门必知必会】之初识SQL注入（非常详细）零基础入门到精通，收藏这一篇就够了（1）

【网络安全渗透测试零基础入门必知必会】之SQL手工注入基础语法&工具介绍（2）

【网络安全渗透测试零基础入门必知必会】之SQL注入实战（非常详细）零基础入门到精通，收藏这一篇就够了（3）

【网络安全渗透测试零基础入门必知必会】之SQLmap安装&实战（非常详细）零基础入门到精通，收藏这一篇就够了（4）

【网络安全渗透测试零基础入门必知必会】之SQL防御（非常详细）零基础入门到精通，收藏这一篇就够了（4）

****网络安全/渗透测试入门之XSS攻击入门必知必会

【网络安全渗透测试零基础入门必知必会】之XSS攻击基本概念和原理介绍（非常详细）零基础入门到精通，收藏这一篇就够了（1）

网络安全渗透测试零基础入门必知必会】之XSS攻击获取用户cookie和用户密码（实战演示）零基础入门到精通收藏这一篇就够了（2）

【网络安全渗透测试零基础入门必知必会】之XSS攻击获取键盘记录（实战演示）零基础入门到精通收藏这一篇就够了（3）

【网络安全渗透测试零基础入门必知必会】之xss-platform平台的入门搭建（非常详细）零基础入门到精通，收藏这一篇就够了4

【网络安全渗透测试入门】之XSS漏洞检测、利用和防御机制XSS游戏（非常详细）零基础入门到精通，收藏这一篇就够了5

****网络安全/渗透测试入门文件上传攻击与防御入门必知必会

【网络安全渗透测试零基础入门必知必会】之什么是文件包含漏洞&分类（非常详细）零基础入门到精通，收藏这一篇就够了1

【网络安全渗透测试零基础入门必知必会】之cve实际漏洞案例解析（非常详细）零基础入门到精通， 收藏这一篇就够了2

【网络安全渗透测试零基础入门必知必会】之PHP伪协议精讲(文件包含漏洞)零基础入门到精通，收藏这一篇就够了3

【网络安全渗透测试零基础入门必知必会】之如何搭建 DVWA 靶场保姆级教程（非常详细）零基础入门到精通，收藏这一篇就够了4

【网络安全渗透测试零基础入门必知必会】之Web漏洞-文件包含漏洞超详细全解（附实例）5

【网络安全渗透测试零基础入门必知必会】之文件上传漏洞修复方案6

****网络安全/渗透测试入门CSRF渗透与防御必知必会

【网络安全渗透测试零基础入门必知必会】之CSRF漏洞概述和原理（非常详细）零基础入门到精通， 收藏这一篇就够了1

【网络安全渗透测试零基础入门必知必会】之CSRF攻击的危害&分类（非常详细）零基础入门到精通， 收藏这一篇就够了2

【网络安全渗透测试零基础入门必知必会】之XSS与CSRF的区别（非常详细）零基础入门到精通， 收藏这一篇就够了3

【网络安全渗透测试零基础入门必知必会】之CSRF漏洞挖掘与自动化工具（非常详细）零基础入门到精通，收藏这一篇就够了4

【网络安全渗透测试零基础入门必知必会】之CSRF请求伪造&Referer同源&置空&配合XSS&Token值校验&复用删除5

****网络安全/渗透测试入门SSRF渗透与防御必知必会

【网络安全渗透测试零基础入门必知必会】之SSRF漏洞概述及原理（非常详细）零基础入门到精通，收藏这一篇就够了 1

【网络安全渗透测试零基础入门必知必会】之SSRF相关函数和协议（非常详细）零基础入门到精通，收藏这一篇就够了2

【网络安全渗透测试零基础入门必知必会】之SSRF漏洞原理攻击与防御（非常详细）零基础入门到精通，收藏这一篇就够了3**
**

****网络安全/渗透测试入门XXE渗透与防御必知必会

【网络安全渗透测试零基础入门必知必会】之XML外部实体注入（非常详细）零基础入门到精通，收藏这一篇就够了1

网络安全渗透测试零基础入门必知必会】之XXE的攻击与危害（非常详细）零基础入门到精通，收藏这一篇就够了2

【网络安全渗透测试零基础入门必知必会】之XXE漏洞漏洞及利用方法解析（非常详细）零基础入门到精通，收藏这一篇就够了3

【网络安全渗透测试零基础入门必知必会】之微信XXE安全漏洞处理（非常详细）零基础入门到精通，收藏这一篇就够了4

****网络安全/渗透测试入门远程代码执行渗透与防御必知必会

【网络安全渗透测试零基础入门必知必会】之远程代码执行原理介绍（非常详细）零基础入门到精通，收藏这一篇就够了1

【网络安全零基础入门必知必会】之CVE-2021-4034漏洞原理解析（非常详细）零基础入门到精通，收藏这一篇就够了2

【网络安全零基础入门必知必会】之PHP远程命令执行与代码执行原理利用与常见绕过总结3

【网络安全零基础入门必知必会】之WEB安全渗透测试-pikachu&DVWA靶场搭建教程，零基础入门到精通，收藏这一篇就够了4

****网络安全/渗透测试入门反序列化渗透与防御必知必会

【网络安全零基础入门必知必会】之什么是PHP对象反序列化操作（非常详细）零基础入门到精通，收藏这一篇就够了1

【网络安全零基础渗透测试入门必知必会】之php反序列化漏洞原理解析、如何防御此漏洞？如何利用此漏洞？2

【网络安全渗透测试零基础入门必知必会】之Java 反序列化漏洞（非常详细）零基础入门到精通，收藏这一篇就够了3

【网络安全渗透测试零基础入门必知必会】之Java反序列化漏洞及实例解析（非常详细）零基础入门到精通，收藏这一篇就够了4

【网络安全渗透测试零基础入门必知必会】之CTF题目解析Java代码审计中的反序列化漏洞，以及其他漏洞的组合利用5

网络安全/渗透测试**入门逻辑漏洞必知必会**

【网络安全渗透测试零基础入门必知必会】之一文带你0基础挖到逻辑漏洞（非常详细）零基础入门到精通，收藏这一篇就够了

网络安全/渗透测试入门暴力猜解与防御必知必会

【网络安全渗透测试零基础入门必知必会】之密码安全概述（非常详细）零基础入门到精通，收藏这一篇就够了1

【网络安全渗透测试零基础入门必知必会】之什么样的密码是不安全的？（非常详细）零基础入门到精通，收藏这一篇就够了2

【网络安全渗透测试零基础入门必知必会】之密码猜解思路（非常详细）零基础入门到精通，收藏这一篇就够了

【网络安全渗透测试零基础入门必知必会】之利用Python暴力破解邻居家WiFi密码、压缩包密码，收藏这一篇就够了4

【网络安全渗透测试零基础入门必知必会】之BurpSuite密码爆破实例演示，零基础入门到精通，收藏这一篇就够了5

【网络安全渗透测试零基础入门必知必会】之Hydra密码爆破工具使用教程图文教程，零基础入门到精通，收藏这一篇就够了

【网络安全渗透测试零基础入门必知必会】之暴力破解medusa，零基础入门到精通，收藏这一篇就够了7

【网络安全渗透测试零基础入门必知必会】之Metasploit抓取密码，零基础入门到精通，收藏这一篇就够了8

Wfuzz：功能强大的web漏洞挖掘工具

****网络安全/渗透测试入门掌握Redis未授权访问漏洞必知必会

【网络安全渗透测试零基础入门必知必会】之Redis未授权访问漏洞，零基础入门到精通，收藏这一篇就够了

【网络安全渗透测试零基础入门必知必会】之Redis服务器被攻击后该如何安全加固，零基础入门到精通，收藏这一篇就够了**
**

网络安全/渗透测试入门掌握**ARP渗透与防御关必知必会**

【网络安全渗透测试零基础入门必知必会】之ARP攻击原理解析，零基础入门到精通，收藏这一篇就够了

【网络安全渗透测试零基础入门必知必会】之ARP流量分析，零基础入门到精通，收藏这一篇就够了

【网络安全渗透测试零基础入门必知必会】之ARP防御策略与实践指南，零基础入门到精通，收藏这一篇就够了

网络安全/渗透测试入门掌握系统权限提升渗透与防御关****必知必会

【网络安全渗透测试零基础入门必知必会】之Windows提权常用命令，零基础入门到精通，收藏这一篇就够了

【网络安全渗透测试零基础入门必知必会】之Windows权限提升实战，零基础入门到精通，收藏这一篇就够了

【网络安全渗透测试零基础入门必知必会】之linux 提权（非常详细）零基础入门到精通，收藏这一篇就够了

网络安全/渗透测试入门掌握Dos与DDos渗透与防御相关****必知必会

【网络安全渗透测试零基础入门必知必会】之DoS与DDoS攻击原理（非常详细）零基础入门到精通，收藏这一篇就够了

【网络安全渗透测试零基础入门必知必会】之Syn-Flood攻击原理解析（非常详细）零基础入门到精通，收藏这一篇就够了

【网络安全渗透测试零基础入门必知必会】之IP源地址欺骗与dos攻击，零基础入门到精通，收藏这一篇就够了

【网络安全渗透测试零基础入门必知必会】之SNMP放大攻击原理及实战演示，零基础入门到精通，收藏这一篇就够了

【网络安全渗透测试零基础入门必知必会】之NTP放大攻击原理，零基础入门到精通，收藏这一篇就够了

【网络安全渗透测试零基础入门必知必会】之什么是CC攻击？CC攻击怎么防御？，零基础入门到精通，收藏这一篇就够了

【网络安全渗透测试零基础入门必知必会】之如何防御DDOS的攻击？零基础入门到精通，收藏这一篇就够了

网络安全/渗透测试入门掌握无线网络安全渗透与防御相关****必知必会

【网络安全渗透测试零基础入门必知必会】之Aircrack-ng详细使用安装教程，零基础入门到精通，收藏这一篇就够了

【网络安全渗透测试零基础入门必知必会】之aircrack-ng破解wifi密码(非常详细)零基础入门到精通，收藏这一篇就够了

【网络安全渗透测试零基础入门必知必会】之WEB渗透近源攻击，零基础入门到精通，收藏这一篇就够了

【网络安全渗透测试零基础入门必知必会】之无线渗透|Wi-Fi渗透思路，零基础入门到精通，收藏这一篇就够了

【网络安全渗透测试零基础入门必知必会】之渗透WEP新思路Hirte原理解析，零基础入门到精通，收藏这一篇就够了

【网络安全渗透测试零基础入门必知必会】之WPS的漏洞原理解析，零基础入门到精通，收藏这一篇就够了

网络安全/渗透测试入门掌握木马免杀问题与防御********必知必会

【网络安全渗透测试零基础入门必知必会】之Metasploit – 木马生成原理和方法，零基础入门到精通，收藏这篇就够了

【网络安全渗透测试零基础入门必知必会】之MSF使用教程永恒之蓝漏洞扫描与利用，收藏这一篇就够了

网络安全/渗透测试入门掌握Vulnhub靶场实战********必知必会

【网络安全渗透测试零基础入门必知必会】之Vulnhub靶机Prime使用指南，零基础入门到精通，收藏这一篇就够了

【网络安全渗透测试零基础入门必知必会】之Vulnhub靶场Breach1.0解析，零基础入门到精通，收藏这一篇就够了

【网络安全渗透测试零基础入门必知必会】之vulnhub靶场之DC-9，零基础入门到精通，收藏这一篇就够了

【网络安全渗透测试零基础入门必知必会】之Vulnhub靶机Kioptrix level-4 多种姿势渗透详解，收藏这一篇就够了

【网络安全渗透测试零基础入门必知必会】之Vulnhub靶场PWNOS: 2.0 多种渗透方法，收藏这一篇就够了

网络安全/渗透测试入门掌握社会工程学必知必会

【网络安全渗透测试零基础入门必知必会】之什么是社会工程学？定义、类型、攻击技术，收藏这一篇就够了

【网络安全渗透测试零基础入门必知必会】之社会工程学之香农-韦弗模式，收藏这一篇就够了

【网络安全渗透测试零基础入门必知必会】之社工学smcr通信模型，收藏这一篇就够了

【网络安全渗透测试零基础入门必知必会】之社会工程学之社工步骤整理（附相应工具下载）收藏这一篇就够了

网络安全/渗透测试入门掌握********渗透测试工具使用******必知必会**

2024版最新Kali Linux操作系统安装使用教程（非常详细）零基础入门到精通，收藏这一篇就够了

【网络安全渗透测试零基础入门必知必会】之渗透测试工具大全之Nmap安装使用命令指南，零基础入门到精通，收藏这一篇就够了

2024版最新AWVS安装使用教程（非常详细）零基础入门到精通，收藏这一篇就够了

2024版最新burpsuite安装使用教程（非常详细）零基础入门到精通，收藏这一篇就够了

2024版最新owasp_zap安装使用教程（非常详细）零基础入门到精通，收藏这一篇就够了

2024版最新Sqlmap安装使用教程（非常详细）零基础入门到精通，收藏这一篇就够了

2024版最新Metasploit安装使用教程（非常详细）零基础入门到精通，收藏这一篇就够了

2024版最新Nessus下载安装激活使用教程（非常详细）零基础入门到精通，收藏这一篇就够了

2024版最新Wireshark安装使用教程（非常详细）零基础入门到精通，收藏这一篇就够了

觉得有用的话，希望粉丝朋友帮大白点个**「分享」「收藏」「在看」「赞」**

黑客/网络安全学习包

资料目录

  1. 成长路线图&学习规划

  2. 配套视频教程

  3. SRC&黑客文籍

  4. 护网行动资料

  5. 黑客必读书单

  6. 面试题合集

因篇幅有限，仅展示部分资料，需要点击下方链接即可前往获取

优快云大礼包：《黑客&网络安全入门&进阶学习资源包》免费分享

1.成长路线图&学习规划

要学习一门新的技术，作为新手一定要先学习成长路线图，方向不对，努力白费。

对于从来没有接触过网络安全的同学，我们帮你准备了详细的学习成长路线图&学习规划。可以说是最科学最系统的学习路线，大家跟着这个大的方向学习准没问题。


因篇幅有限，仅展示部分资料，需要点击下方链接即可前往获取

优快云大礼包：《黑客&网络安全入门&进阶学习资源包》免费分享

2.视频教程

很多朋友都不喜欢晦涩的文字，我也为大家准备了视频教程，其中一共有21个章节，每个章节都是当前板块的精华浓缩。


因篇幅有限，仅展示部分资料，需要点击下方链接即可前往获取

优快云大礼包：《黑客&网络安全入门&进阶学习资源包》免费分享

3.SRC&黑客文籍

大家最喜欢也是最关心的SRC技术文籍&黑客技术也有收录

SRC技术文籍：

黑客资料由于是敏感资源，这里不能直接展示哦！

4.护网行动资料

其中关于HW护网行动，也准备了对应的资料，这些内容可相当于比赛的金手指！

5.黑客必读书单

**

**

6.面试题合集

当你自学到这里，你就要开始思考找工作的事情了，而工作绕不开的就是真题和面试题。

更多内容为防止和谐，可以扫描获取~

因篇幅有限，仅展示部分资料，需要点击下方链接即可前往获取

****************************优快云大礼包：《黑客&网络安全入门&进阶学习资源包》免费分享

FastAdmin后台开发框架 lang 任意文件读取漏洞复现
0xSec
06-17 4311
FastAdmin后台开发框架 /index/ajax/lang 接口存在任意文件读取漏洞，未经身份验证攻击者可通过该漏洞读取系统重要文件（如数据库配置文件、系统配置文件）、数据库配置文件等等，导致网站处于极度不安全状态。
SpringBoot整合JWT实现无状态认证：入门到精通
专注Java开发与国产数据库技术分享，涵盖达梦DM8/OceanBase/GaussDB核心原理与实战，兼及DeepSeek大模型部署、YOLOv11训练等AI技术，为开发者提供从基础到进阶的技术干货。
06-08 1091
JWT在SpringBoot中的实现与应用 摘要：本文介绍了JWT(JSON Web Token)的基本概念、与Session机制的对比，以及SpringBoot项目中JWT的整合实现。JWT由Header、Payload和Signature三部分组成，具有无状态、跨域支持等优势。文章详细展示了如何在SpringBoot项目中配置JWT环境，封装JWT工具类来实现Token的生成、解析和验证功能，包括密钥管理、自定义声明、签名验证等核心操作。通过对比表格和生活化比喻，帮助读者理解JWT与传统Session的
2024版最新148款CTF工具整理大全（附下载安装包）含基础环境、Web 安全、加密解密、密码爆破、文件、隐写、逆向、PWN等全套工具
Libra1313的博客
10-23 1万+
经常会有大学生粉丝朋友私信大白，想通过打CTF比赛镀金，作为进入一线互联网大厂的门票。但是在CTF做题很多的时候都会用到工具，所以在全网苦寻CTF比赛工具安装包！
【漏洞预警】FastAdmin框架任意文件读取漏洞
晚风不及你
06-11 3800
FastAdmin是一个基于ThinkPHP和Bootstrap的快速开发的后台管理系统框架。FastAdmin框架存在文件读取漏洞漏洞，攻击者利用此漏洞可以获取系统敏感信息。
【漏洞复现】FastAdmin——lang——任意文件读取漏洞
LongL_GuYu的博客
06-27 6826
FastAdmin是一个免费开源的后台管理框架，其lang存在任意文件读取漏洞，未授权攻击者可以利用其读取网站配置文件等敏感信息。
fastAdmin lang接口任意文件读取漏洞(内含XrayPoC)
WuYSec的博客
06-18 1861
fastAdmin是一款基于ThinkPHP和Bootstrap开发的开源后台管理框架，旨在帮助开发者快速构建高效、灵活的后台管理系统。fastAdmin存在任意文件读取漏洞，可直接读取数据库配置文件。
JWT令牌从入门到精通：SpringBoot整合实战+原理深度剖析（附完整代码）
最新发布
2402_83235349的博客
06-08 405
"JWT（JSON Web Token）是现代Web开发中身份验证的主流方案。本文从原理到实践详细讲解JWT的组成结构、Java代码实现、登录流程整合以及安全最佳实践，包含完整工具类和SpringBoot整合示例。点赞收藏，关注不迷路！"
JWT vs Session：后端认证方案对比与最佳实践
架构师的AI之路，分享AI应用开发架构的学习与实践。
06-08 399
在后端开发中，认证是非常重要的环节，它就像是给房子装上门锁，只有有钥匙的人才能进入。JWT（JSON Web Token）和Session是两种常用的认证方案。我们这篇文章的目的就是详细对比这两种方案，看看它们各自的优缺点，以及在什么情况下使用哪种方案最合适。范围涵盖了这两种方案的原理、实现、应用场景等方面。我们会先解释JWT和Session的核心概念，就像认识新朋友一样，先了解他们的特点。然后用代码展示它们的实现过程，就像看别人怎么搭积木一样，学习他们的搭建方法。
Python高频面试题4 - Session、Cookie、Token 核心区别与技术对比
热门推荐
孤寒者的博客
04-26 1万+
Python高频面试题4 - Session、Cookie、Token 核心区别与技术对比
JWT 从入门到精通
weixin_46228563的博客
06-09 955
JSON Web Token（JWT）是目前最流行的跨域身份验证解决方案。
超级弱口令检测工具
02-28
转自github大佬shack2，写的弱口令检测工具，超级弱口令检查工具是一款Windows平台的弱口令审计工具，支持批量多线程检查，可快速发现弱密码、弱口令账号，密码支持和用户名结合进行检查，大大提高成功率，支持自定义服务端口和字典。
超级弱口令检查工具
04-10
Windows平台的弱口令审计工具，支持批量多线程检查，可快速发现弱密码、弱口令账号，密码支持和用户名结合进行检查，大大提高成功率，支持自定义服务端口和字典。工具采用C#开发，需要安装.NET Framework 4.0，工具目前支持SSH、RDP、MySQL、SQLServer、Oracle、FTP、MongoDB、Memcached、PostgreSQL、Telnet、SMTP、SMTP_SSL、POP3、POP3_SSL、IMAP、IMAP_SSL、SVN、VNC、Redis等服务的弱口令检查工作。
超级弱口令检查工具(附带弱口令字典)
07-22
超级弱口令检查工具(附带弱口令字典)
超级弱口令检查工具V1.0
12-16
网络安全工具 超级弱口令检查工具V1.0是平台的弱口令审计工具，可快速发现弱密码、弱口令账号，密码支持和用户名结合进行检查，大大提高成功率，支持自定义服务端口和字典。
FastAdmin 任意文件读取漏洞复现
网安小白
09-04 2070
FastAdmin 后台框架开源且可以免费商用，一键生成 CRUD， FastAdmin 是一款基于 ThinkPHP 和 Bootstrap 的极速后台开发框架，基于Auth验证的权限管理系统，一键生成 CRUD，自动生成控制器、模型、视图、JS、语言包、菜单、回收站等。（Fast Admin 极速 后台 框架）Fastadmin框架 lang接口处存在任意文件读取漏洞，恶意攻击者可能利用该漏洞读取服务器上的敏感文件，例如客户记录、财务数据或源代码，导致数据泄露。
抓 Windows 密码，这 7 种技术够不够用！
bigbangbangbang1的博客
12-09 1044
内网渗透中，获取到 Windows 系统权限之后，抓取本地哈希是必不可少的操作，今天分享一款工具，集成了 7 种转储 LSASS 内存的方法，工具地址：运行如图：未提供任何参数运行程序，会要求你输入所要指定的方法，参数为 1-7，功能分别对应：使用解除挂钩技术转储 lsass 内存以注入修改后的 mimikatz 二进制文件。使用解除挂钩技术转储 lsass 内存以使用 MDWD 的直接系统调用注入二进制文件。使用简单的 MiniDumpWriteDump API 转储 lsass 内存。
fastadmin框架低版本漏洞，任意文件读取漏洞（CVE-2024-7928），/index/ajax/lang?lang 修复办法
loricy7的专栏
11-20 1884
通过/index/ajax/lang?lang=en，可以获取到一些敏感文件的信息。关于这个漏洞，是由于旧版本对获取语言标识。官方已于2022年05月30日发布。所以fastadmin框架版本低于。的过滤不严可能导致安全问题。版本，并修复了这个漏洞。对应的数组中添加以下代码。版本，就需要进行修复。方法三：更新框架版本，
【免费下载】 SNETCracker-超级弱口令检查工具
gitblog_09816的博客
10-21 603
SNETCracker-超级弱口令检查工具 【下载地址】SNETCracker-超级弱口令检查工具 SNETCracker是一款功能强大的超级弱口令检查工具，旨在帮助用户识别和防范系统中的弱口令风险。通过使用该工具，用户可以快速扫描并检测出系统中存在的弱口令，从而提升系统的安全性 ...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值