很诡异的问题，点击一个无任何参数而且从未访问过的 URL 地址居然还获取到了别人的会话数据

[superboss01]

场景：微信用户 A 分享一个地址给了另外一个微信用户 B，B 点击后得到了新的 PHPSESSIONID(网页是，COOKIE 值 B 和 A 都不一样)，可是，可是，可是居然获得了用户 A 的会话数据，完全垫付了我的人生观啊

备注：通过调试面板观察的，B 用户完全是一个新用户，居然获得了用户 A 的会话数据，很神奇

我这里都是说的服务器端接收的数据情况，全站 https
用户 a 和 b 发送给服务器接收到的 cookie 都是完全不一样的，而服务器也正常处理了，就是根据 cookie 去映射的 session 居然 b 作为一个首次访问的新用户还获取到了用户 a 的会话数据

[xfspace]

估计是参数放在 URL 里，且未鉴权？

[superboss01]

@xfspace URL 里面无任何参数 用户 B 本身的数据对象也是正确的 就是 SESSION 里面本应该是 A 的数据 居然 B 也获取到了

[crz]

@superboss01 那就是有 bug ？

[t6attack]

我遇到过诡异的事：
小时候，是电话串线。当时看报纸，发现很多时候，是老鼠搞乱电线导致的。
网络时代，是网络串线。某巨型网站，刷新以后发现是别人的帐号，而且能进行各种操作。一般是运营商缓存设备的锅。
虽然少见，但也不算稀奇，大家应该都遇到过。

[t6attack]

对对，网络时代不叫 “串线”，叫 “串号”。

[parametrix]

@t6attack 妈呀，网络串线 666，就这还有人坚持不上 https，毕竟运营商缓存是特性呢

[t6attack]

@parametrix 也不都是运营商的锅。网站方自己配置不当也可能导致问题。
知乎、12306、甚至 Steam，都是自己的锅。
https://www.baidu.com/s?ie=UTF-8&wd=%E4%B8%B2%E5%8F%B7%E4%BA%8B%E4%BB%B6
https://www.baidu.com/s?ie=UTF-8&wd=Steam+%E8%B4%A6%E5%8F%B7%E4%B8%B2%E5%8F%B7
大家都知道，新浪微博先是登录过程上的 https，N 年以后，才是全站 https。
之前登录过程上 https，就是因为一次串号事件的结果。
http://sec.chinabyte.com/374/12542374.shtml

[t6attack]

至于楼主的疑问，可能就是串号。详见
https://www.baidu.com/s?ie=UTF-8&wd=session%E4%B8%B2%E5%8F%B7%E7%8E%B0%E8%B1%A1

[flynaj]

微信缓存下来的，

[beijinglowb]

毫不稀奇，这种事我遇到的多了。局域网特别是大学校园网，很容易出现类似问题。原理是，校园网或鹏博士这类宽带，在地区宽带 CDN 对用户内容进行缓存，以加快网站速度。

缓存的时候你自身的 COOKIE 会话值一类根据某种算法传输到了运营商 CDN 进行解析，决定是否输出缓存数据。

但是运营商 CDN 出现了问题，把你和他人的会话混淆了。于是就出现一个问题，你自己的网页访问 CDN，CDN 向网站发出了他人的认证信息，网站返回的自然是他人的内容。

[superboss01]

@all 这个怪的就是服务器接收到的 a 和 b 2 用户的 cookie 都是不一样的。 可就是 b 居然还获取到了 a 的会话数据
然后全站 https 百思不得其解。单独进行代码测试的话一切正常

[wanglaihuai]

当年还不是智能机的时候，我用手机打开网页 QQ，居然莫名其妙登录的是别人的 QQ 号。到现在我还一脸懵比。难道串号了？

[superboss01]

都散了吧 虽然问题解决了 不过看样子用别人写的东西还是不放心靠谱 我还是自己写自己的会话处理逻辑吧 本来有的，懒得写而已