java - java 的 session 安全性足够吗？

Question

所以我一直在寻找一些有关 session 安全性的信息，但只能找到与 PHP session 相关的信息。

现在，我的 Web 应用程序根据数据库对用户进行身份验证，如果成功，会将其用户对象( hibernate 实体)作为属性放入 HttpSession 中。

然后，我的网络应用程序验证该属性是否已设置，并将使用该用户对象进行所有 future 的数据库查询并确认用户已获得授权。

我的网络应用程序将管理小型企业的资金和付款，安全性是我最关心的问题。如果攻击者能够冒充用户，他们将能够退款并取消销售。付款由 stripe 处理，因此卡详细信息将是安全的，但用户将具有 API 访问权限来启动退款。

设置为 HttpSession 属性的这个用户对象是否足够安全，或者我应该添加更严格的安全措施？如果是这样，您能否建议其他方法来保护用户帐户。

所有 session 均通过 SSL 进行。

谢谢!

Answer 1

session 状态保存在服务器端，就像 PHP 中一样。 session ID 由浏览器作为 cookie 发送，就像在 PHP 中一样。可以通过窃取 session cookie 来冒充用户，但由于流量是使用 HTTPS 加密的，因此唯一的方法就是从浏览器内存或服务器内存中窃取它。