node.js - session ID cookie 应该签名吗？

Question

我正在使用 Node 库 https://github.com/expressjs/session并注意到它需要指定一个 secret 来签署 session ID cookie。

如果 只是 session ID 被存储在 cookie 中，而不是任何数据，那么签署 cookie 有什么用？

我的理由是，如果有人想修改 session ID cookie，那么只要 session ID 足够长以防止暴力攻击就可以了。我错过了什么吗？

Answer 1

我也质疑过这个问题，我能想到的唯一答案是，

• a) 如果有人(无缘无故？)更改了默认 session ID生成一个非加密的随机 session ID，对其进行签名有助于防止攻击者生成有效的 session ID。
• b) 通过验证 session 减少 session 存储的往返次数使用签名/HMAC 的 ID。 (我只能想象这是一个问题用于 DoS 攻击)。

虽然使用良好的 session 缓存会否定 b) 的必要性，但两者似乎都是正当理由，并且假设您的图书馆用户愚蠢到足以更改默认 session ID 生成，当大多数用户只会使用默认的生成算法。