authentication - SessionId/Authentication Token 生成最佳实践

Question

我见过有人使用 UUID 生成身份验证 token 。然而，在 RFC 4122据说

Do not assume that UUIDs are hard to guess; they should not be used as security capabilities (identifiers whose mere possession grants access), for example.

我想知道，例如在 Java 和 .NET 中使用什么算法来生成 SessionId/AuthenticationToken。在具有高于平均安全需求的应用程序中，UUID 确实不适合这些目的吗？

Answer 1

UUID生成是随机的，但是随机的熵不好意味着你最终会很容易猜到UUID s。如果使用好的随机数生成器，可以生成UUID可用于 session 的 s。然而，问题在于 UUID s 没有内置的重播预防、篡改、固定等功能，您必须自己处理(阅读:UUID 本身不应被视为有效的 session ID 本身)。也就是说，这里有一个很好的片段，用于说明如何生成安全 UUID使用 python :

Unique session id in python