security - session 是否足够安全来验证用户身份？

Question

我想知道 session 是否足够安全来验证用户身份。基本上，当一个新 session 启动时，服务器会生成一个唯一的 session ID。而id则用于区分不同的用户。

但是，黑客不是有可能盗取别人的session id吗？如何防止其他人窃取我的 session ID？在我看来，黑客也可以通过意外或暴力攻击来猜测 session ID。

您能否回答这个问题，以便我能够理解 session 的概念，从而成为一名更好的软件开发人员？

Answer 1

在野外， cookies 最常见的是 obtained using XSS 。劫持 session 的另一种常见方法是使用 Firesheep 等工具嗅探 session ID。 。在这种情况下，通过 HTTP 泄漏 session ID 将是 violation of owasp a9 - Insufficient Transport Layer Protection 。如果攻击者可以强制受害者使用特定的 session ID，则其称为 Session Fixation ，并可用于危害帐户。 CSRF和 clickjacking是影响 session 的其他方式。

我建议阅读Mozilla WebAppSec Secure Coding Guidelines - Session Management 。