Question

java 开发问题，sessionId,相关，如下

每次登陆到系统，系统会给浏览器一个session,假如我用浏览器登陆了，获取session了，然后我去浏览器去找sessionId,，然后自己写代码，把sessionid,放进去，这样岂不是也可以登陆了？？？？或者我把这个sessionId,放到别的浏览器中，那么别的浏览器也一样可以不用登陆了？？？？

Answer 1

是的， 完全正确。sessionId相当于服务器产生的一个很长的随机数， 所以，一般很难猜中, 满足了一般级别的安全通信。 如果需要更高级别的安全通信， 可以使用https

Answer 2

session哪有可能你自己从浏览器取到的，都是在request的session里面的，不信你去浏览器取试试。

Answer 3

是的。这就是所谓的xss跨站攻击