HTTPS是否可以防止会话中断？

Question

在典型的会话骑行场景中，攻击者使受害者计算机将HTTP请求发送到他们已经登录的网站，例如，在CSRF攻击的情况下，诱骗受害者打开链接。 浏览器在HTTP请求中包含会话cookie（以及该站点的所有其他cookie），因此攻击者可以执行任何受害人被授权执行的操作（可能是恶意的）。

HTTPS对整个数据包进行加密，因此无法读取内容，包括标头和cookie。 但是它是否可以防止会话攻击，还是浏览器仍包含cookie并自动使用正确的加密？

Answer 1

浏览器将仍然包含cookie并自动使用正确的加密吗？

是的 。 CSRF攻击之所以起作用，是因为浏览器将请求与用户通常希望发出的任何其他请求一样对待。 与所有cookie数据一样，HTTP和HTTPS请求都照常发送。 这就是为什么要由应用程序的服务器端补偿令牌的原因。