security - 在 cookie 中存储(散列)密码是否安全？

Question

我读过一些关于 SO 的文章和问题(例如 here )说你不应该在 cookie 中存储用户的密码。如果密码被加盐和散列，为什么这不安全？

特别是，为什么它不如使用 session (通常建议的替代方法)安全？如果用户想保持登录状态，那么这个新 cookie(带有 session ID/哈希)肯定与带有用户密码的 cookie 一样安全？如果 cookie 以某种方式被“窃取”，攻击者可以以相同的方式以用户身份登录。

编辑 :问题的主要症结在于用户保持登录状态，即通过“还记得我吗？”复选框。在这种情况下，肯定只有一个 session 吗？

Answer 1

通过将散列密码 + salt 放入 cookie，您:

打开无限的蛮力向量

允许任何人复制和使用 cookie(它总是允许访问；而 session 会持续一段时间)。

如果它变得相关，则更难更改散列方案

此外，您通常需要存储其他内容以识别用户(例如他们的用户 ID，因此您可以查找他们的密码并进行匹配)。这可能会导致其他晦涩的问题。

所以你最好只使用 session id 方法。