herokuapp.com 上的 Heroku 应用程序中的 cookie 是否安全？

Question

我正在开发一个应用程序，我将部署在 Heroku 上。该应用程序仅在另一个站点上的iframe 内使用，因此我不在乎域名。我计划在example.herokuapp.com 上部署我的应用程序，而不是在example.com 上使用自定义域。

我的应用使用 cookie，我想确保其他人无法操纵我的 cookie 以保护我的应用免受 session fixation 和类似攻击。如果attacker.herokuapp.com 能够为herokuapp.com 设置cookie，浏览器将无法保护我，因为herokuapp.com 不是public suffix。有关该问题的详细说明，请参阅 http://w2spconf.com/2011/papers/session-integrity.pdf。

我的问题是：当浏览器无法保护我的用户时，Heroku 会通过阻止 herokuapp.com 的 cookie 来做到这一点吗？

Answer 1

只是想为像我一样遇到此问题的任何人发布更新。我正在解决一个类似的问题，除了我想有目的地允许从两个不同的 Heroku 应用程序访问同一个 cookie。

“herokuapp.com”和“herokussl.com”现在位于Public Suffix List 上，因此如果为其中一个域设置了cookie，应该是安全的。我最终不得不使用自定义域来在两个应用程序之间共享 cookie。

Heroku 也发布了一篇关于该主题的文章：https://devcenter.heroku.com/articles/cookies-and-herokuapp-com

Answer 2

我刚刚尝试从我的 Heroku 应用程序中添加一个带有响应标头 Set-Cookie: name=value;Path=/;Domain=.herokuapp.com 的 cookie，但令我失望的是，我可以在浏览器中看到完整的标头。因此 Heroku 基础架构不会检测并删除此跨应用超级cookie。

我看到了三种可能的方法来保护 Heroku 应用免受跨应用超级cookies：

• 根本不使用 cookie。
• 使用自定义域。
• 验证每个 cookie 是否确实由您的应用设置，并通过检查 the X-Forwarded-For header 将其限制为客户端的 IP 地址。

我对 Heroku 的功能请求是他们应该过滤通过其 HTTP 路由的 HTTP 响应，以便托管在其基础架构上的应用程序无法使用 Domain=herokuapp.com 设置 cookie。

Answer 3

在我看来，只要您将 cookie 设置为 example.herokuapp.com，那么 cookie 就不会被操纵。 cookie 只会呈现给在example.herokuapp.com 和herokuapp.com 上运行的应用程序（没有应用程序运行）。