.net - 使用表单例份验证有哪些安全风险？

Question

专家，

我们希望为我们 future 的项目提供一个更安全的登录系统，而不是使用 session 状态来判断用户是否登录。如果我的理解是正确的，一旦用户通过表单例份验证进行身份验证，就会在用户机器上生成一个 cookie。这有多安全？ cookie 是否容易受到类似于 session 劫持的劫持形式的影响？如果用户不接受 cookie 怎么办？有没有更好的方法我应该看看？

提前致谢。

Answer 1

简短的回答是它和你做的一样安全。大多数基于表单的身份验证系统使用 cookie 来维护与最终用户的 session ，但如果您愿意，也可以使用其他技术。

对于基于 cookie 的身份验证，您需要创建某种 token 来标识经过身份验证的用户。这个 token 需要是不容易被猜到的东西。此 token 可以在 cookie 中传递或存储在 session 中，在这种情况下， session cookie 存储在客户端计算机上，而身份验证 token 只能在连接的服务器端访问。如果您不希望 cookie 被 ease-dropper 捕获，那么您可以将 cookie 设置为Secure 和 HttpOnly，前者仅通过 HTTPS 发送，而后者使 cookie 无法从 JavaScript 访问。

如果最终用户不接受 cookie，那么 session ID 通常会放在不安全的 URL 中。

看看这个链接 Session Fixation