security - 我如何通过简单地将cookie从计算机复制到另一个来防止 session 劫持？

Question

大多数Web应用程序使用cookie来管理用户的 session ，即使关闭了浏览器，也允许您保持登录状态。

让我们假装我们做了书中的所有事情，以确保保存cookie本身。

加密内容

仅设置http

设置安全的

ssl用于连接

我们检查篡改cookie

的内容

是否可以防止对计算机具有物理访问权限的某人复制cookie并将其在另一台计算机上重复使用，从而窃取 session ？

Answer 1

使用cookie验证 session 固有的风险:cookie是不记名 token ，可以提供cookie的任何人都将得到验证。

这就是为什么您看到其他保护措施的原因，例如:

在一段时间或不 Activity 一段时间后自动注销；

device fingerprinting;

需要重新认证才能执行关键操作(例如进行银行转帐或更改密码)。