將會話ID /密鑰作為請求參數傳遞的安全風險

Question

我們正在開發RESTful聊天API和聊天客戶端。 當客戶端發出“初始連接”請求時，我們返回帶有安全密鑰和用戶ID的json響應。 對於后續請求，客戶端應將用戶標識和安全密鑰作為請求參數發送。 請注意，只有登錄用戶和其他組件之間才允許聊天攔截所有請求，並進行身份驗證和授權。

1. 每個請求發送安全密鑰和用戶ID（客戶端）是否存在安全風險？
2. 如果是的話，補救措施/解決方案是什么

Answer 1

由於多種原因，將安全憑證放在cookie而不是URL中通常被認為是更好的做法。 其中一個原因是URL可能被基礎結構的各個部分（瀏覽器歷史記錄，代理日志，Web服務器日志文件等）記錄，但cookie通常不會以這種方式捕獲和存儲。