ruby-on-rails - rails : Is devise vulnerable to session hijacking?

Question

是devise通过正常的 http://连接容易受到 session 劫持吗？我无法从文档中弄清楚它。

Answer 1

是的。Rails 管理 session 的默认方式很容易被劫持。

这是因为它将客户端进一步需要的所有信息传输到客户端，以在 HTTP cookie 中识别自己。大多数情况下，任何能够拦截 HTTP 连接的人都可以从 Rails 的角度假设客户端的身份。

最简单的对策是仅通过 HTTPS 为您的网站提供服务，并让 Rails 发出安全 cookie，这会告诉浏览器仅通过 HTTPS 发送该 cookie。 security guide有更多有用的提示。