会话令牌安全 parse.com答案

【问题标题】：session token security parse.com会话令牌安全 parse.com
【发布时间】：2014-10-27 11:52:21
【问题描述】：

在过去的几个月里，我一直在 Parse 上构建一个应用程序（iOS 和 Web 应用程序），并且刚刚发现他们的会话令牌是如何工作的。这是我到目前为止所学到的：

这对我来说似乎很不安全，还是我错过了什么？似乎如果有人设法获得此令牌，他们就可以永久访问用户帐户，即使用户名和/或密码已更改？

谢谢，

马里奥

【问题讨论】：

【解决方案1】：

我还仔细检查了从 REST API 和 Android 客户端返回的会话令牌。这是相同的。即使我更改了密码。

这绝对是一个潜在的安全问题。任何人的移动设备被盗，如果会话未加密，黑客就可以获得会话令牌，用户数据的安全将永远处于危险之中。

因为黑客可以永远使用来自任何客户端的会话令牌。你永远不知道黑客什么时候会做坏事。我严重关注这个问题。希望有人会解决它。

PS：嗨，Mario，我在 Facebook 开发者平台上记录了一个问题。

希望有人会跟踪它并最终解决它。

【讨论】：

您能否编辑此帖子以重定向到您在groups.google.com/forum/#!topic/parse-developers/qjvKJYikHQ8 进行的讨论，我将接受它作为答案。谢谢！
似乎用户“会话令牌”实际上是 Parse 中用户记录的数据库 ID。如果是这样，问题不在于它永远不会改变，而是您可以become 用户而没有任何身份验证障碍。

【解决方案2】：

看起来他们刚刚更新了系统以使用可撤销的用户会话。不错的解析！

【讨论】：