如何隱藏j會話ID

當我通過身份驗證我的應用程序，並按F12，如果我打開網絡cookie部分，我可以看到純文本的J會話ID。
如何加密或隱藏它？如何隱藏j會話ID

2016-01-07 dinesh kumar

這是正常行爲。爲什麼這會對你造成問題？ – BalusC

我需要那JSESSIONID掩蓋，以便它不可見。因爲它可能會導致安全相關的問題 –

這是它總是當某人暴露自己的會話cookie進入公開爲某些不明原因。你不能對此做任何事情。這不是特定於JSESSIONID的。其他語言如PHP和ASP也有這個「問題」。 – BalusC

什麼是加密或掩蓋它的好處？假設有一種簡單且不浪費時間的方法來執行此操作，攻擊者只需複製令牌的加密形式並將其提供給您的應用程序，並且您的應用程序將盡職盡責地對其進行解密，而不管來源如何。同上來掩蓋它：無論您在傳輸它之前執行哪些屏蔽，都意味着服務器端的某個組件需要取消屏蔽以使其可用。所以真的，你不會在你看的方向上取得任何成就。

這裏的主要威脅可行的是一個會話重放攻擊，它可以很容易地通過確保

您的會話不會活太久
你實現一個積極的會話策略來緩解，任何給定的用戶ID都不能有多個活動會話 - 這意味着即使會話ID被攻破，也不會有新的會話被盜用令牌。

如果您對會話令牌的處理感興趣，您應該閱讀OWASP's session management article，這會讓您更好地保護會話;你現在看到的只是分散注意力

來源

2016-01-11 20:49:02 kolossus

如何隱藏j會話ID

回答

相關問題