安全問題：僅在cookie中維護HTTP會話

Question

如果我僅在Cookie中維護HTTP會話，有人可以向我解釋可能引發（如何）的安全問題嗎？

Answer 1

您只能使用cookie對代碼進行會話管理。它將需要很多部分來管理會話信息。 如果管理cookie過期時間戳，安全的Cookie，會話ID生成等，可以引起諸如問題的任何流量 -

• Cookie可以被盜&重用
• 操作餅乾會導致特權上報&未經授權 訪問

Answer 2

那麼，本身的會話是不安全的，你在你的應用程序中爲擁有共享密鑰的人打開一個洞。但那是可以忍受的。出現問題時，有人獲得您的會話ID。爲了避免這種情況，你的id應該是uuid質量的（真的是隨機的）並且儘可能短。

另外要考慮：如果某人能夠將JS插入到您的域（對於該域有效），他/她能夠讀取您的cookie並獲得對某人會話的訪問權限。

對於涉及安全相關內容（轉移資金，更改電子郵件/密碼）的操作，您應該再次詢問密碼以驗證用戶會話。

單擊鎖定按鈕不僅會破壞您的本地cookie，而且會話也是服務器，因此即使cookie已被讀取，會話也會被銷燬。