security - 为什么Yesod session cookie不能被劫持？

Question

Yesod book说

The encryption prevents the user from inspecting the data, and the signature ensures that the session can be neither hijacked nor tampered with.

我不清楚为什么会出现这种情况。如果窃听者在合法用户发出另一个请求之前获取了从服务器发送的 cookie 并使用它，那么 session 最终不会被劫持吗？

在我看来，真正防止 session 劫持的唯一方法是始终使用 SSL。但如果我这样做，那么 Yesod 完成的签名和加密最终会成为不必要的开销(编辑:就防止劫持而言的开销。正如 @sr_ 在评论中指出的那样，否则它仍然有用)。

Answer 1

这是一个很好的收获。过去，当我们将客户端的 IP 地址包含在 cookie 中以防止劫持时，这会更准确。与防篡改保护相结合，这使得 MITM 攻击基本上不可能发生，除非您在同一路由器后面进行 NAT 或使用同一代理。

不幸的是，由于担心代理，我们不得不禁用该保护。由于中间代理服务器的原因，单个用户的请求可能来自多个 IP 地址。我没有数据表明这种情况发生的频率，但人们非常担心此安全功能会导致损坏，因此我们禁用了它。

感谢您提出这个问题，I've corrected the book .