セキュリティ上の問題：クッキー内でのみHTTPセッションを維持する

Question

HTTPセッションをクッキーでのみ維持していると、セキュリティ上の問題を説明することができますか？

Answer 1

セッション管理は、Cookieのみを使用してコーディングすることができます。セッション情報を管理するには多くの部分が必要になります。 クッキーの有効期限のタイムスタンプ、セキュアなクッキー、セッションID生成などを管理するなどの問題が発生することができます場合は、任意の流れ -

• クッキーが盗までき&を再利用する権限を引き起こす可能性がありますクッキーの
• 操作が&不正 アクセスをエスカレーション

Answer 2

あなた自身のセッションは安全ではありません。共有秘密を持っている人のためにアプリケーションに穴を開けてください。しかし、それは耐えられる。誰かがセッションIDを取得したときに問題が発生します。これを避けるためには、あなたのIDはuuid-quality（本当にランダム）であり、できるだけ短期間でなければなりません。

また、誰かがあなたのドメインに（クッキーが有効な）JSを挿入できる場合、あなたはあなたのクッキーを読んで、誰かのセッションにアクセスすることができます。

セキュリティ関連の処理（金銭の授受、電子メール/パスワードの変更）を伴う操作の場合は、ユーザーセッションを確認するためにパスワードを再度尋ねる必要があります。

ロックアウトボタンをクリックすると、ローカルのCookieだけでなく、サーバーのセッションも破棄する必要があるため、Cookieが読み込まれていてもセッションが破棄される可能性があります。