node.js - 如何在 Node.js 中重用 Play Framework 2.2 设置的签名 cookie？

Question

背景:我的公司有一个在 Play Framework 2.2 中开发的 REST-api，我们使用 Play 的内置身份验证，使用签名 cookie 作为安全性。我们的应用程序被分成多个 Play 实例，所有实例都共享相同的 application.secret。这使我们能够非常轻松地读取所有 Play 实例上的 session cookie。

问题:现在，我们正在将 REST-api 的某些部分迁移到 Node.js，并希望在那里使用相同的 session cookie(具有相同的 application.secret)来检测用户是否登录。我在互联网上搜索过，但没有找到有关该主题的任何内容。

问题:那么，有可能做到吗？它被认为足够安全还是我需要迁移到另一种身份验证方法？

Answer 1

cookie 在 CookieBaker 中编码:

https://github.com/playframework/playframework/blob/master/framework/src/play/src/main/scala/play/api/mvc/Http.scala#L430

使用 Crypto.sign 进行 HMAC-SHA1 签名:

https://github.com/playframework/playframework/blob/master/framework/src/play/src/main/scala/play/api/libs/Crypto.scala#L98

您拥有应用程序 secret ，并且 Node.js 可能具有相同的签名算法，因此您应该可以开始了。