无Cookie环境下的Session与验证码安全方案
许多API项目为了安全或其他原因，选择不使用Cookie。在这种情况下，如何安全地实现Session和验证码功能，并防止局域网内验证码被共享，是一个重要的问题。
Session管理：利用POST参数
对于无Cookie的API，我们可以通过在每次请求中传递POST参数来实现Session管理。 服务器端根据POST参数中的标识符来识别用户身份。
验证码安全：Redis结合唯一标识符
单纯使用Redis存储验证码容易导致局域网内验证码共享。为了解决这个问题，我们需要为每个用户或每个请求生成一个唯一的标识符（Key）。
改进方案：
我们建议采用以下两种策略来确保验证码安全：
-
重定向机制： 服务器生成验证码图片后，立即将用户重定向到一个包含该验证码图片的页面。由于每个用户请求都会生成一个新的验证码并进行重定向，因此可以有效防止验证码在局域网内被共享。
-
Key-Value绑定： 为每个用户或请求生成一个唯一的Key，并将该Key与验证码一起存储在Redis中。用户需要在提交验证码时提供相应的Key。服务器端验证Key和验证码的匹配性，只有两者都正确才能通过验证。
这两种方法都能有效地防止局域网内验证码的共享，确保系统安全。 选择哪种方案取决于具体的应用场景和技术栈。
