Web oturumu “Kötü Tasarım” mı? Neden?

Geçen gün bir meslektaşımla tartışıyordum ve bir web uygulamasında kullanıcının oturumunu kullanmanın sadece yanlış olduğunu söyledi. Sakladığınız bilgilere bağlı olarak bunun yanlış olabileceğini, aksi halde neden bir web oturumu hizmeti Microsoft tarafından bile sağlanıyor (ASP.NET hakkında konuşuyorduk) yanıtladı.

Yine bana, MS'de bile kötü tasarım olduğunu kolayca cevaplayabileceklerini söyledi. Ve bana bunu gösteren bazı teknik belgeleri gösterebileceğini söyledi.

Ne yazık ki artık bu adamla iletişim kurma şansım yok, ama gerçekten onun bakış açısı hakkında daha fazla bilgi edinmek istiyorum. Burada bu konuda kimsenin bilgisi / bakış açısı var mı?

"Kötü tasarım" anlamına gelmediğini sanmıyorum. Genel olarak konuşursak, bir web uygulaması mümkün olduğu kadar vatansız olmalıdır. Örneğin, sayfa görüntülemeye izin vermek için kullanıcı bilgilerini bilmeniz gerekse de, bu bilgiler istemci makineye bir çerez biçiminde kaydedilebilir ve sunucu kullanıcı bilgilerini her seferinde doğrular.

Bu ideal olurdu, ancak her zaman istemcinin çerezleri kaydedebileceğine güvenemezsiniz. Ayrıca, kullanıcının durum bilgisi olmayan bir şekilde doğrulanmasını içerir; bu, basit bir sayfa isteği için veritabanından bilgilerin sorgulanmasını içerebilir. Çoğu zaman bu tür bilgileri oturumda kaydetmek daha kolaydır.

Ancak, Rubicon'u geçtikten sonra, birçok programcı sadece oturumdaki kimlik doğrulama bilgilerini değil, diğer birçok şeyi de kaydetme eğilimindedir. Bu bir anti-desen ve web uygulamanızı ilk etapta kaçınılması gereken tam olarak duruma bağlı hale getirme eğilimindedir.

Bazı programcılar, başka türlü bağımlılıkların karışıklığını gidermek için Spring (Java kullanıyorsanız) gibi teknolojiye bağlıydı, ancak bunun sadece onları ortadan kaldırmak yerine bağımlılıklar oluşturmayı kolaylaştırdığını iddia ediyorum. Bu teknolojiler, anti-deseninizi daha az problem haline getirmemeli, gelişiminize yardımcı olmalıdır.

Bu nedenle, iyi bir kural, vatansız yazabiliyorsanız, muhtemelen bunu yapmak için daha iyi bir fikirdir veya bu tuzağa düşme riskiniz vardır. Açıkçası, bunun gerekli olduğu durumlarla karşılaşacaksınız, ancak genel olarak konuşursak, yalnızca aksi takdirde yeniden elde edilmesi zor olacak bilgileri kaydetmelisiniz.

İki farklı konuyu karıştırdığınızı düşünüyorum: 1) oturumlar ve 2) asp.net web formlarının sayfa modeli

Bir kullanıcının kimlik doğrulaması için bir web oturumu gereklidir . İdeal olarak bir oturum sadece bu amaç için kullanılmalıdır. Bir oturumda kullanıcı verilerini depolamamalısınız (ister sunucuda, ister bir çerezde olsun, ister asp.net/webforms bunu yapıyorsa: sayfanın içinde). Hiç kimse bir web oturumunun kötü olduğunu söylememeli, daha ziyade kullanıcı verilerini depolamalıdırbir oturumda kötü bir uygulamadır. Kullanıcı verilerinin sunucuda saklanmamasının nedenleri, global değişkenlerden kaçınmak için aynı nedenleri içerir. Kullanıcı verilerinin çerezlerde veya sayfada depolanması güvenlik sorunlarına yol açabilir. Asp.net sayfa modelini kullanmak, web'in durumsuz doğasına da bağlı değildir. Web formlarının neden kötü bir tasarım olduğu hakkında daha fazla bilgi edinmek için bir arama yapabilirsiniz. Oturumlar ise web uygulamalarının gerekli bir parçasıdır.

Denetimler ve oturum durumunun bir sayfada depolanması aslında bir saldırıdır. MS örneğidir - winform ortamlarında olabildiğince sayfa tasarlayabileceğiniz bir geliştirme ortamı sağlamak istedikleri için gereklidir.

MS, protokolün gerçekte ne olması gerektiğine bir daha dönüşü olan vatansız olan MVC mimarisine (en son sürüm - MVC 4) doğru ilerlemiştir.

Depolama durumunun hala kullanışlı olduğu durumlar vardır, ancak bunun kuraldan ziyade istisna olduğu anlaşılmalıdır.