风险MongoDB的_id和饼干

Question

我想知道有没有安全问题的id设置我的cookie的用户的_id来识别用户或将是更好的设置cookie的用户名和otherone编码PWD

谢谢

Answer 1

是的，这绝对是一个安全风险 - 这意味着，如果用户可以发现另一个用户的_id（例如，如果您不小心将它显示在某处），他们可以以该用户身份登录。更糟糕的是，_id在事后无法更改，因此无法强制另一个会话进行远程注销或从被盗的cookie中恢复。

使用会话登录，而不是用户特定的数据。

Answer 2

一种评论，一种答案。

提出的选择都不好;也被称为Morton's fork。在cookie

1. 放的userid：不好，因为，作为duskwuff说，cookie可以被窃取和ID传递回来没有办法阻止它。

2. 将用户名和加密的密码放在cookie中：由于完全相同的原因，不合适。

第三个选项是优选的：发回具有有限生存期的加密会话ID。一旦服务器确定会话超时，请不要再使用它。