security - 使用 cookie 和 java 创建非常安全的登录

Question

我正在使用 play framework2 设计一个非常安全的登录机制。由于 Play 没有 session 的概念并将内容保存在 cookie 中(我喜欢)，我想知道我需要考虑哪些安全措施。我们显然将使用 SSL 来传达登录凭据，并且 cookie 将是一些用户信息的加密值，例如他们的电子邮件或用户 ID。是否有人可以嗅探该 cookie 或从其他用户的 cookie 中获取它并重新使用它？我怎样才能使它更安全？

Answer 1

事实上，cookie 并未加密。它已签名。此签名来自您的 application.conf 中的 application.secret。

这意味着任何人都可以看到 cookie 的内容(并最终尝试欺骗其他 session 或更改他们的登录名/id/ token ...)

来自 Play 文档:

Of course, cookie values are signed with a secret key so the client can’t modify the cookie data (or it will be invalidated).

我不是安全专家，但是，如果您对您的应用程序保密，它对我来说就足够了。

欢迎讨论签名强度!