javascript - 在本地存储中存储凭证

Question

我可以安全地使用本地存储而不是 cookie 来存储 session 凭据吗？

我需要存储加密哈希吗？？

编辑:这是否足够安全？

• 用户登录。

• 服务器返回成功消息，包括加盐的 bcrypt 哈希混合用户 ID、密码、时间戳和可能的 IP 地址。这保存在本地存储中。

• 在以后的连接中发送此哈希值，只要 IP 地址未更改且时间限制未过期，服务器就会承担责任。

Answer 1

localstorage 和 cookie 一样容易被 JavaScript 读取。

localstorage 可以使用来自相同 域的 JavaScript 读取，如果您控制该域上的所有 JS，那么这应该不是问题。但是，如果执行任何其他代码(例如通过注入(inject)，或者如果您与其他人共享域)，他们将能够访问存储数据。

不过，这对于 cookie 也是一样的，但通常 cookie 被设置为 HTTPOnly，因此 JavaScript 无法读取它。

无论哪种情况，明文登录信息都不应该存储在 cookie 或 localstorage 中，就好像有人确实掌握了它们一样，他们可以不断地为自己创建一个新 session 。

您应该加密经过身份验证的标识符(例如他们的用户 ID)以及 session 到期的日期时间，然后将此值存储在 cookie 或本地存储中。然后在每次服务器调用时验证此 token 。