python - 在 Pyramid Framework 中，默认未加密 session 工厂和手动设置 cookie 有什么区别？

Question

与使用 request.response.set_cookie(..) 和 request.cookies[ 相比，我不明白设置未加密 session 工厂以设置 cookie 之间的区别键].

Answer 1

UnencryptedCookieSessionFactory 管理一个 cookie，即签名。这意味着客户端可以读取 ¹ cookie 中的内容，但不能更改 cookie 中的值。

如果您直接使用 response.set_cookie() 设置 cookie，客户端不仅可以读取 cookie，还可以更改 cookie 的值，您将无法检测到内容已被篡改。

此外，UnencryptedCookieSessionFactory 让您可以存储任何 python 结构，它会负责对这些结构进行编码以适应 cookie 的限制；您必须使用 .set_cookie() 手动完成相同的工作。

^{1 _{您必须对 cookie 进行 base64 解码，然后使用 pickle 模块解码内容。因为 cookie 是加密签名的，所以适用于 pickle 的常见安全问题得到缓解。}}