基於Cookie的會話的安全性

Question

我需要一些有關基於cookie的會話如何工作的說明。 我正在構建一個用於對用戶進行身份驗證的應用程序，並且在成功通過身份驗證后，我將一個標識其用戶的GUID粘貼到會話中，該會話繼而被保存為cookie。 現在，當用戶登錄時，如何防止某人嗅探流量，竊取用戶cookie的內容並在自己的一端創建cookie並以該人身份登錄我的網站？ 另一種情況是，如果我可以物理訪問該用戶登錄的計算機，那么我還可以竊取Cookie的內容並模擬為用戶。

Answer 1

怎樣防止某人嗅探流量，竊取用戶Cookie的內容並在自己的一端創建Cookie並以該人身份登錄我的網站？

SSL-停止此操作的唯一方法是在HTTPS上運行您的網站。

我可以實際訪問該人登錄的計算機

一旦擁有對計算機的物理訪問權限，您所有的安全方法都將成為現實。 您對此無能為力。

Answer 2

我想你在這里有兩個問題。 關於第二個，您不應該將會話密鑰存儲在cookie中，並且要比會話保留更長的時間，將cookie上的超時設置為快速過期，並在合理的時間內盡快使服務器上的會話失效並且cookie變為無用。 如果您通過網絡傳遞重要信息，請使用https。

Answer 3

閱讀此： http : //www.linuxforu.com/2009/01/server-side-sessions/

花費了幾秒鍾的時間進行谷歌搜索，這篇文章回答了您有關防止某人監聽流量，竊取用戶cookie的內容並在自己的一端創建cookie並以該人身份登錄到您的網站的問題。