cookies - Stackoverflow 如何让用户通过 HTTP 登录？

Question

我注意到 stackoverflow 仅在登录页面上使用 SSL，并且可以通过 HTTP 发布问题/答案。

用户必须登录才能执行此操作，所以我想知道如果未使用 SSL，stackoverflow 如何设法跟踪哪些用户已登录。

目前我正在制作一个 Rails 应用程序，它使用 cookie 跟踪登录状态。我一直假设您需要 SSL 才能安全地执行此操作。但是我以登录用户的身份通过 HTTP 发布了这个。

当我运行 tcpdump -i eth0 -A 然后访问 stackoverflow 时，我注意到一个名为“usr”的 cookie，并且这个 cookie 以明文形式传输，没有 SSL。如果我通过不安全的连接(如 wifi 网吧)登录，黑客/数据包嗅探器能否窃取我的 usr cookie 并重播我的 session ？

我想避免在我的 Rails 应用程序中使用 SSL(因为我的主机要花很大力气来实现它)，所以我想使用与 stackoverflow 相同的技术。我想让用户在没有 SSL 的情况下保持登录状态。

我猜这里正在使用数据库(或内存缓存/redis) session 存储。但肯定仍然需要某种 cookie 吗？为什么这些 cookie 不必通过 SSL 发送？是否有其他事情在后台发生，使这些 cookie 对不同机器上的黑客来说是多余的？

Answer 1

这是我认为会发生的事情或您可以在您的应用程序中使用的东西.. 当用户通过您的登录页面登录时，您创建了两种不同类型的 cookie。您创建第二个 cookie，这样它将专门发送回 HTTPS 页面，所有其他页面(包括 HTTP 和 HTTPS)可以使用第一个 cookie(用户 session cookie)来维护 session 和所有包含安全信息的页面用户独有的将使用第二个 HTTPS cookie..

通过这种方式，可以仅使用 session cookie 查看喜欢的页面，但当您想要查看用户信息页面时，您需要使用第二个 HTTPS cookie..

希望这是有道理的。