Стандарт /RFC для HTTP-сессий?

Question

HTTP как протокол не имеет состояния. RFC 2965 определяет механизм состояния для HTTP (куки), но также существует концепция HTTP-сессий. Файлы cookie используются для отслеживания сеанса пользователя (с использованием идентификаторов сеансов), но фактическое содержимое переменных сеанса хранится на сервере. Такие языки, как JSP, ASP и PHP, включают механизм сеансов для поддержки сеансов HTTP.

Мне было интересно, есть ли RFC или стандарт, который определяет, как HTTP-сессии должны быть реализованы? В конце концов, JSP, ASP и PHP реализуют HTTP-сессии практически одинаково.

Answer 1

Извините, что отвечаю на мой собственный вопрос, но, как обычно, вы тратите много времени, пытаясь найти что-то самостоятельно, и когда вы, наконец, спрашиваете кого-то другого, это тот момент, когда вы сами находите ответ.

Первоначальный RFC для файлов cookie - 2109, который был заменен 2965, который в свою очередь был заменен RFC6265. RFC6265 говорит о сессиях и идентификаторах сессий.

http://tools.ietf.org/html/rfc6265

Answer 2

Возможно, вы также захотите увидеть http://tools.ietf.org/html/rfc6896, в котором содержится гораздо больше подробностей, чем в «RFC6265» «Серверы ДОЛЖНЫ шифровать и подписывать содержимое файлов cookie (используя любой формат, который пожелает сервер)»

Дополнительная информация об использовании файлов cookie для безопасных сеансов: http://www2.imm.dtu.dk/pubdb/views/edoc_download.php/6062/pdf/imm6062.pdf http://nordsecmob.aalto.fi/en/publications/theses_2011/thesis_nazmul.pdf http://www.cl.cam.ac.uk/~sjm217/papers/protocols08cookies.pdf