Session 和 Cookie 令牌是一样的……这有风险吗？

Question

我有一个登录脚本，它在成功登录时将散列和加盐的令牌存储到 MySQL 数据库中。然后将原始令牌保存到会话变量中，并可选择保存到客户端 cookie。

这是安全风险吗？我是否应该将哈希令牌存储在我的会话中，并且只通过 cookie 提供原始令牌？

一般来说有没有更好的方法来处理这种情况？

Answer 1

当谈到 Security 时，选择 cookie 确实是个坏主意。

我希望你很清楚cookies 很容易被篡改。如果您仍想将原始令牌存储到 cookies 中，每当您执行操作时，请比较您的 session 令牌和 cookie 令牌，看看它们是否匹配。如果是这样，则执行该操作。如果它们不匹配，只需使session 过期（即注销用户）并删除cookie。