假設(shè)我拿到了別的用戶的淘寶網(wǎng)站的cookie，我放到自己的http請求里，我就可以冒充這個用戶嗎？理論上，如果你得到一個cookie，你就可以模仿一個用戶。根據(jù)以下具體分析：此“身份密碼”由服務(wù)器生成

假設(shè)我拿到了別的用戶的淘寶網(wǎng)站的cookie，我放到自己的http請求里，我就可以冒充這個用戶嗎？

理論上，如果你得到一個cookie，你就可以模仿一個用戶。根據(jù)以下具體分析：

此“身份密碼”由服務(wù)器生成并放置在客戶端瀏覽器的cookie中。服務(wù)器將有一個與之對應(yīng)的會話，會話ID也存儲在cookie中。

如上所述，服務(wù)器的會話ID存儲在客戶端的cookie中，以便其他用戶在cookie中獲得會話ID后，可以模擬原始用戶啟動請求。

這似乎不合理

！但是，這是cookies和會話的機制。我們說過當cookie被禁用后，session可能無法正常工作，但是我們可以通過get將sessionid傳遞給服務(wù)器，因此如果sessionid以明文形式傳輸，則存在安全風險。

由于cookie存儲在客戶機中并且不安全，因此當我們將用戶數(shù)據(jù)存儲在cookie中時，我們將對其進行加密。例如，它將驗證用戶的IP、終端身份等，即使其他用戶偽造Cookie，也無法驗證。首先，很明顯，支付寶和微信，甚至任何移動支付平臺，都是按照會計理論設(shè)計的，不是程序員設(shè)計的。程序員只需編寫這些計算公式。

有必要普及什么是會計原理。會計是一門平衡的學(xué)科，一門叫做借方，另一門叫做貸方。只有有路進去，才能有路出去。有出路就有出路。如果沒有辦法進去，就沒有辦法出去。這很容易理解。

任何操作都屬于這個理論，即：可以省錢有余額，余額不能被代碼修改。這和銀行卡一樣，如果銀行工作人員自己寫的卡余額不是很豐富嗎？當你充值時，你的銀行卡借款人，當你支付寶、微信賬號，當你套現(xiàn)時，支付寶、微信賬號是借款人，銀行卡是貸款人。它必須是一致的。當然，如果有一個有利率的賬戶，就會有一個有利率的借貸票據(jù)。

因此，學(xué)習(xí)程序員不應(yīng)該是一廂情愿的想法。沒有人能改變這個系統(tǒng)，因為風險控制在上線之前就已經(jīng)進行了。