python - 在 Flask session 中存储用户 ID 是否安全？

Question

我在网上找到了很多文章解释说 Flask session 是安全的而不是加密的。

这意味着用户可以对 cookie 进行 Base64 解码并读取其中的值。

如果我的应用程序在用户成功登录后使用此 session cookie 中的用户 ID 值对用户进行身份验证，这会不会有问题？

如果我理解正确，用户将无法将他的 cookie 值更改为另一个用户的 ID，因为它由服务器端的应用程序私钥签名。对吗？

如果是这样，使用 Flask 基于 cookie 的 session 的安全内容允许用户访问应用程序的 protected View 是否有任何问题？

Answer 1

总结评论中给出的答案:

• Cookie 可以被篡改，但如果启用 Flask session 安全性，此类被篡改的 session 将是 thrown away , 强制客户端重新登录
• Cookie 中以 Base64 编码的 session 数据可以很容易地查看。因此，您的客户不应该看到的任何内容都不应包含在此处