会话变量可以被黑客修改吗？

Question

我正在使用spring mvc 开发一个网络应用程序。我将关于我的用户的个人资料数据放在一个 session 变量中。

    for( AdminProfil ap : admin.getAdminProfils()){
        
        if(ap.getProfil().getNomProfil().equals("root")){
            session.setAttribute( "root", true );
        }
        else if(ap.getProfil().getNomProfil().equals("saisie")){
            session.setAttribute( "saisie", true );
        }
        else if(ap.getProfil().getNomProfil().equals("controle")){
            session.setAttribute( "controle", true );
        }
        else if(ap.getProfil().getNomProfil().equals("validation")){
            session.setAttribute( "validation", true );
        }
        
    }

在我的jsp 页面中：

                <c:if test="${ sessionScope['saisie']  }">
                    ......
                </c:if>

1. 我想知道session 变量是否可以被以下之一修改 我的用户或其他想要破解我的网络应用程序的人？
2. 如果可以修改会话，我可以使用哪些其他解决方案来阻止用户更改其个人资料？
3. 在我的情况下可以使用会话变量还是使用 cookie 更好？

Answer 1

我想知道会话变量是否可以被我的一个修改 想要破解我的网络应用程序的用户或其他人？

不，会话变量不能由您的用户或其他人修改

但是，如果您不小心，浏览器可能会被欺骗使用错误的会话 cookie，并且会话 cookie 可能会被盗：

• 在会话 cookie 上设置 httpOnly 标志
• 在用户登录后更改其会话 ID 以避免会话固定
• 使用 HTTPS 并在会话 cookie 上设置 secure 标志以避免会话劫持
• 使用类似 modsecurity 的 WAF 保护您的网站免受 XSS 和 XSRF 的攻击

我建议使用 Spring Security 4 而不是滚动您自己的系统。

在我的情况下使用会话变量是可以的，或者 cookie 更好 ?

是的，没关系。没有 cookie 不是更好，因为 cookie 可以由用户或其他人修改。