與Session_secret一起使用時，Rack :: Session :: Cookie是否安全？

Question

其中cookie由base64編碼的數組內容組成，後面跟着（我相信）這個內容的SHA1哈希值是隻有服務器知道的長session_secret，這個策略有多安全？據我瞭解，散列是一個簽名，可防止客戶端篡改cookie內容。這個系統是否安全？特別是，攻擊者能否弄清楚如何在不訪問session_secret的情況下僞造簽名？是否還有其他漏洞？

Answer 1

SHA1有已知的漏洞，所以如果這是它的用途，我不會推薦它。理論上，這可以被利用來僞造簽名。