在龍捲風中，安全cookie是祕密嗎？

Question

當我使用祕密cookie功能，設置和獲取cookie時，http客戶端獲取併發送一個包含cookie的字符串。

我知道cookie是安全的：客戶無法在不知道密鑰的情況下更改cookie的內容。

但是cookie的祕密？客戶端能否從字符串中提取cookie而不使用密鑰？

Answer 1

Cookie是簽名但未加密的，所以客戶端可以很容易地看到它們包含的數據（它只是base64編碼的）。如果您需要保留cookie的內容，則必須單獨對其進行加密。