java - 将 java bean 序列化为 cookie : Is it bad?

Question

在我工作的组织中，对以下问题进行了认真的辩论。

场景:

有一个 POJO，它有 6 个不同的属性，所有属性都是字符串类型。这些值需要作为 cookie 保存下来，以便当有人在网站上进行预订时可以将其取回。 POJO 中的这些值表示将客户带到该站点的引用者。在将其插入cookie之前，将其转换为json格式并存储在cookie中。在检索时，它会被检索并反序列化为 POJO。我不认为这有什么大问题，但其他人似乎反对它，并且是一次快速的管理 session ，我无法问为什么你认为这很糟糕？这真的很糟糕吗，如果是的话为什么？

附加说明:

在存储到 cookie 之前，会进行检查以确保它是有效值并且经过 Base64 编码。因此，从安全角度来看，即使有人黑客攻击，也不用担心。

Answer 1

我想答案取决于您对以下问题的回答:

1. 由于您永远无法信任客户端请求中出现的任何内容，因此黑客欺骗 pojo 值是否会产生任何有害影响？

2. 通过将对象发送到客户端，这是否会暴露黑客永远不会看到的任何内部实现细节？

3. 是否存在一种机制允许 POJO 对象更改“形状”(即添加新属性)，以便从客户端发送的旧 POJO 在反序列化为较新的应用程序版本？

4. 能否保证该值不会超过 maximum cookie size

如果这些问题没有引起任何问题，那么我认为在 cookie 中维护用户特定值没有问题