ruby-on-rails - 在 Rails 中，使用基于 cookie 的 session 存储， session 和 cookie 是一回事吗

Question

我一直在使用基于 cookie 的 session 存储，甚至从来不知道 Cookies到目前为止。那么在任何情况下我都需要 cookie 哈希吗？

Answer 1

cookie 散列在 Rails 应用程序中绝对有值(value)。 您应该使用 cookie 在客户端存储您希望在 session 之间记住的值。

“记住我” token 就是一个很好的例子。如果您希望允许用户在访问您的站点时自动登录，只需存储一个具有某些用户防篡改值的持久性 cookie(例如映射到数据库中该用户行的唯一哈希或 guid(良好)但不像只使用普通的旧整数用户 ID 那样可破解(坏))。然后，当用户访问您的站点时，您可以检查 cookie 哈希以获取记住我的 token ，如果找到，则在您的数据库中进行查找并在找到匹配项时让用户登录。这是一种非常普遍的做法。

如果您需要/想要在客户端 cookie 中存储纯文本值，但不希望用户能够随意使用这些值，只需将该值的散列存储在伴随 cookie 中，并用 salt 散列一些用户不知道的值。然后，您只需要计算从客户端 cookie 接收到的纯文本值的加盐哈希值，并将其与同样从客户端 cookie 传递的哈希值进行比较。如果它们匹配，您就可以信任它。