通過HTTPS安全cookie的感覺

Question

對於HTTPS加密cookie（安全cookie）是否有意義？ 據我所知在HTTPS整個請求被加密，所以我們需要額外的加密cookie？

Answer 1

這完全取決於您的安全模型。您仍然需要加密Cookie的一些原因：

1. 您是否在意應用程序的用戶是否獲取了cookie的內容？換句話說，你是否存儲那些內部的東西，而不應該向用戶透露？

2. 你關心，如果用戶與cookie的內容篡改？根據您的操作方式，加密可以成爲獲得完整性保護的一種方式。 （有，當然，其他方面也。）

3. 什麼餅乾披露的後果是什麼？如果它是一個不記名的令牌，它是否被加密不會有很大的區別，但是如果它包含有價值的數據，對它進行加密可以防止攻擊者以某種方式獲得對瀏覽器存儲的cookie的訪問權限（無論是通過web攻擊或攻擊實際託管瀏覽器的系統）。你仍然可能以其他方式輸給攻擊者，但它可以提供一些深度的防禦。

加密cookie的主要目的是防止接收cookie的用戶（或可以訪問該用戶數據的攻擊者），如果需要的話。