在 Django 中不循环会话密钥有什么风险？

Question

Django 在登录时循环会话密钥。理由（我不明白）是in this pull request：

登录时，更改会话密钥，同时保留任何现有的 会话。这意味着用户将在登录时看到他们的会话保留 边界，但窥探匿名会话密钥的人将无法查看 经过身份验证的会话数据。

如果您希望轻松地将未授权行为与后来登录的用户关联起来，那么循环会话密钥会很麻烦。 This answer 建议简单地禁用 cycle_key。

禁用cycle_key有什么风险？ （与上面的评论或其他评论有关。）

编辑：好的，我想我理解上面的理由。它的字面意思是，如果你窥探了 unauth 操作，你将无法将它们与 auth 操作相关联。我可以看到这可能很好，但是 1) 理想情况下，unauth 和 auth 操作都受到保护（例如，https），2) 必须权衡安全利益与保留会话密钥的利益。

编辑 2：拉取请求是从 2008 年开始的，当时 https 的格局大不相同。 Now it's >=90% https.

Answer 1

查看documentation 的cycle_key 它说（强调我的）：

在保留当前会话数据的同时创建新会话密钥。 django.contrib.auth.login() 调用此方法来缓解会话固定。

因此，循环会话密钥的原因是为了防止session fixation attack [OWASP]。经过一些研究，会话固定攻击基本上是攻击者从服务器获取会话 ID（或使用任意 ID）并通过某种方式（XSS 攻击、MITM 攻击等）迫使其他用户使用此会话 ID对您的服务器进行身份验证。如果服务器没有更改会话密钥，攻击者现在可以接管用户会话并冒充他们。

因此禁用它是一个很大的风险，禁用它的回报也很小。我建议你（以及任何阅读本文的人）不要禁用这个内置功能，事实上不要在没有好好考虑的情况下禁用任何 Django 的安全功能。

关于将未经身份验证的行为与经过身份验证的行为相关联，最好通过在用户会话本身中序列化数据来存储数据，如second method of this answer by Gonzalo 中所述。