cryptography - 如何安全地存储 session ID

Question

我是一名学习密码学的学生。在网上搜索后，我仍然无法找到问题的答案。我想知道如何为电子商务网站安全地存储 session ID。如果可能的话，怎么可能？请用外行的术语解释一下。期待您提供有用的答案。

干杯

Answer 1

session ID 通常只是在客户端和服务器之间传递的随机(不透明)标识符。服务器使用标识符在数据库中查找状态信息(例如当前购物车内容)。

作为一个实际问题，您必须相信客户端会保护 session ID，因为一旦您将它发送给他们，它就会变成一个静态 token ——再多的密码学也无法解决任何人都可以呈现 session 的事实id 然后假装是用户。

您可以采取一些措施来缓解问题:

1. 确保您使用“足够安全”的随机生成器来构建 token

2. 确保 token 的传输尽可能安全，防止窃听或客户端窃取(例如使用 SSL、httponly 和安全 cookie 标志)

3. 给 token 一个合理的超时时间，并要求用户定期请求一个新的 token ，例如使用刷新 token 或重新登录。

很多人都在思考如何实际工作——看看 OAuth2/OpenID Connect 协议(protocol)。