Session 在请求正文而不是cookie中传递会话密钥

在请求主体中接受会话令牌而不是作为cookie的最佳方式是什么？我基本上想要

ring.middleware.session

的功能，但不使用cookies，因为它是一个将从另一个域调用的API

---

是否存在这样做的现有示例/库/

cemerick.friend

工作流？

将中间件函数放在

ring.middleware.session

之前，以及像

compojure.handler.api

这样将参数复制到会话cookie中的东西之后，这会是一种过分的攻击。您还可以使用自己的函数包装ring.middleware.session，将令牌放在middleware.session所需的位置。

将中间件函数放在

ring.middleware.session

之前或之后，例如将参数复制到会话cookie中的

compojure.handler.api

之后，这会不会太麻烦。您还可以使用自己的函数包装ring.middleware.session，将令牌放在middleware.session需要的位置。

我想不出有什么问题。希望其他人也能对此发表评论。一个警告：代币不会像cookies那样自动过期，所以你也必须实现它。我想不出有什么问题。希望其他人也能对此发表评论。有一点需要注意：代币不会像cookies那样自动过期，所以您也必须实现这一点。