SSL和cookie如何工作？

Question

据我所知，我们使用SSL来加密敏感数据，如用户名和密码，以便在没有人在网络窃听的情况下传输到服务器。那么服务器通过HTTPS和它的存储在cookie中返回一个安全的令牌。我们在拥有安全令牌后切换到HTTP，我们将cookie /安全令牌头添加到每个HTTP请求。

现在任何人都可以看到我的安全令牌，他们可以窃听并模仿我。我的理解是否正确？

Answer 1

Cookie可以根据协议设置，以便HTTPS cookie不用于HTTP，反之亦然。此外，正确构建的安全令牌应包含IP地址，并具有较短的到期时间。

但是总的来说，最好的想法当然是保持通过身份验证的会话安全通道 - 现在SSL不是重量级的（因为计算机变得比首次引入SSL时快得多）并且最重要的部分是握手，如果使用持久HTTP连接（或使用SSL会话恢复），则只执行一次。