ruby-on-rails - 在 cookies.signed 与 session 中存储值的安全差异

Question

我希望为用户提供更持久的登录体验，所以我想用 cookies.signed[:id] = user.id 保存用户的 id 而不是 session[:id] = user.id。

此更改是否有任何我应该注意的安全隐患(不同的加密等)？

Answer 1

好吧，这是一个例子。让我们解决非常糟糕的场景。有人得到了你的应用程序的 cookie 签名 secret 。这样，这些坏人就可以在 cookie 中存储他们想要的数据。如果您将通过 cookie 中的 ID 识别用户，他们将能够以系统中的任何用户身份登录。如何？好吧，大多数应用程序都使用以 0 开头的整数作为 ID，对吧？这将很容易找到，例如，id 为 1 的管理员用户。如果您将通过 session 识别用户怎么办？ session (就像 cookie)通常会过期。甚至更多 - 猜测管理员或其他人的 session ID 会非常烦人(如果这些用户根本没有 session ，甚至是不可能的)。我并不是说如果有人窃取了您的应用程序的 secret 并且您只将 session ID 存储在 cookie 中，您就绝对安全。但是将用户 ID 存储在 session 中肯定比将其存储在 cookie 中更好。