node.js - node.jsexpress.cookieSession 是否足够安全以保存敏感数据？

Question

我对 session 有很好的基本了解。

有 2 个选项可以将 session 与 Express 和 Node.js 结合使用。

1. express.session
2. express.cookieSession

第一种方法我很熟悉，但我对第二种方法有一些疑问。

使用 cookieSession 会将所有实际数据存储在客户端 cookie 上。这意味着敏感数据将保存在客户端。

这看起来非常非常糟糕。这是否意味着某些恶意软件可以检索这些数据？

还有一个问题:

我尝试用 express.cookieSession 替换我的 express.session ，一切正常，我可以在客户端看到数据，但似乎每次我删除 cookie 并重新进入服务器，我得到相同的 session token 。这怎么可能？

除了将 express.session 更改为，比方说:

app.use(express.cookieSession({ secret: 'keyboard cat' }));

为什么每次客户端获得新 session 时我都会获得相同的 token ？

Answer 1

关于安全性的问题1:一个站点无法访问另一个站点的cookie，但是将敏感数据放在客户端上肯定存在风险。不推荐。阅读此处的答案以了解基本概要:How to store cookies containing sensitive data securely in PHP?

关于相同 token 的问题 2，请参阅我对您的问题的评论。