security - 用户登录安全 - 本地 cookie 与 session

Question

我在这里阅读了一些关于这个主题的答案，人们说使用 session 比只使用 cookie 更安全，但我不明白这怎么可能是真的。

假设您正在使用 session ，并且在客户端的计算机上仅存储 session ID。如果黑客获得了对客户计算机的访问权限并窃取了 session ID cookie，他实际上就获得了对客户在我网站上的帐户的访问权限，对吧？

现在，如果您只使用本地 cookie，并像客户端密码的散列部分一样存储 + 结合只有您的服务器知道的盐，黑客仍然可以通过从他的 cookie 窃取他的 cookie 来访问他的帐户电脑。

所以说到底这两种方法没有什么区别吧？还是我遗漏了什么？

Answer 1

你是对的，如果黑客获得了对你计算机的完全访问权限，你将被两种方式塞满，直到 session 在服务器端无效。

如果 session 只依赖于 cookie，那么使用 session ID 或用户凭据的散列值加上该用户独有的 salt 并不重要。它们是等价的，只要你能在服务器上调整salt使cookie值失效。通常您会应用两种盐:一种为每个用户定义，另一种适用于所有用户。这样一来，您可以根据需要使所有用户的所有 session 无效，或者只使选定的用户无效。

然而，不为 session 使用 cookie 是有充分理由的:以防止跨站点请求伪造 (XSRF)。例如。当你访问攻击者的网站时，它会调用你银行网站上的一个页面并将资金从你的账户中转出。如果您的银行网站使用 cookie 进行 session ，它将使您成功登录，因为浏览器会自动将 session cookie 传递给该站点。

避免这种情况的方法是在请求的有效负载中传递 session ID 而不是作为 cookie，并且在服务器端，仅查看有效负载中的 session token 来确定 session ，而不是 cookie .