绿盟面试总结

首先说了一下自己的项目，所以要对自己的项目进行深入的了解。

一、在登录界面要考虑的安全问题。

传输：使用https进行传输，对传输内容进行加密，杜绝http明文传输

密码：

1. 强制用户使用有一定强度并复杂的密码，一定包含英文字母和数字，防止出现123456这样的弱口令    
2. 密码不要明文存储在数据库，要进行加密处理，同时可以加盐 
3. 用户名和密码不要单方面提示，不管是用户名还是密码错误都提示“用户名或密码错误”，防止攻击者进行尝试

sql防护：前端进行禁止用户输入导致sql注入的字符，后端也要进行sql注入的防护

异地登录：保存每次用户登录信息日志，当出现异地登录时，进行提醒

cookie防护：不要在cookie中保存账号密码，要将过期时间，ip等考虑进去，cookie要设置成http only，防止脚本获取

设置会话有效期：比如登录后10分钟不操作进登录失效。

加验证码：防止黑客进行撞库攻击

采用单点登录。

二、如何确定用户是否登录。

1. 当用户输入正确的用户名和密码时，在服务器端创建一个session保存，并设置过期时间
2. 如果用户选择保存密码，将cookie保存在浏览器端
3. 每次用户向后台进行请求时，进行状态验证，如果存在session，则继续进行操作，并刷新session的有效时间，如果不存在session，则判断cookie是否正确，如果正确则，完成自动登录，否则返回登录界面。

三、session和cookie的区别是什么？

1. cookie存放在浏览器端，session存放在服务器端
2. cookie不是很安全，别人可以分析存放在本地的cookie进行cookie欺骗，考虑到安全性，账号密码等信息应该保存在session端。
3. session会在一定时间内保存在服务器端，当访问增多时，会影响服务器的性能。