node.js - 什么是安全 session secret ？

Question

我正在使用 express-session，我需要创建一个 session key 。
我读到 secret 用于哈希。

这个 secret 应该有多长，有哪些字符？

我在想像这样的随机字母数字字符串:
IqFic484907I0T552hiMQ1UCJimRGL55
谁能就此给我建议？

Answer 1

secret 用于对 session id cookie 进行签名，防止 cookie 被篡改。

最后，负责创建签名的模块是cookie-signature ，它使用 crypto.createHmac()使用 secret 作为 key 和 SHA256 算法进行哈希。

我认为 secret 的长度没有真正的上限(除了 Node 中字符串的最大长度，我什至认为它不存在)。我认为如果它的长度超过 256 位(= 32 字节)，它将首先被散列为 32 字节。

对于您放入 secret 的字符也没有限制。一串随机的 alnum 字符，比如说 24 到 32 字节长，应该就可以了。