java - 无效的记住我 token (系列/ token )不匹配。暗示之前的 cookie 盗窃攻击

Question

org.springframework.security.web.authentication.rememberme.CookieTheftException: Invalid remember-me token (Series/token) mismatch. Implies previous cookie theft attack.
    at org.springframework.security.web.authentication.rememberme.PersistentTokenBasedRememberMeServices.processAutoLoginCookie(PersistentTokenBasedRememberMeServices.java:102)
    at org.springframework.security.web.authentication.rememberme.AbstractRememberMeServices.autoLogin(AbstractRememberMeServices.java:115)

我注意到 processAutoLoginCookie 方法被调用了两次。方法本身的行为似乎是正确的，例如，更新数据库中的 token 并更新客户端中的cookie。如有任何帮助，我们将不胜感激。

Answer 1

在等待有人发布此问题的答案时，我想到了一个更好的解决方案。默认情况下，PersistentTokenBasedRememberMeServices.processAutoLoginCookie() 会为每个请求更新 token 。我对此的解决方案是覆盖 processAutoLoginCookie() 的行为并删除 cookie 部分的更新。这解决了 cookietheft 异常，但这会给攻击者打开一个安全漏洞，因为 cookie 不会为每个请求更新。如果攻击者能够窃取 cookie，他就可以使用该 cookie 访问 protected 站点。为了防止这种情况发生，我正在考虑添加一个 IP 地址作为 cookie 的一部分，并在 cookie 来自 session 所有者时验证每个请求。我还没有实现 IP 验证，但对我来说这是解决这个问题的更好方法。

我希望这也能帮助你们中的一些人遇到同样的问题。