V2EX › kran 的所有回复 › 第 31 页 / 共 44 页

V2EX = way to explore

V2EX 是一个关于分享和探索的地方

现在注册

已注册用户请登录

1 ... 27 28 29 30 31 32 33 34 35 36 ... 44

❮

❯

2013-12-17 16:55:38 +08:00

回复了 kran 创建的主题 › 程序员 › 基于cookie存储的加密session有什么风险？

@Shieffan 差不多了，是不想维护一个服务端的存储，但是问题的目的不是提高cookie的安全性，是提高session有效性验证的系数，sessionid由客户端生成的话，会死的很惨。

2013-12-17 16:43:34 +08:00

回复了 kran 创建的主题 › 程序员 › 基于cookie存储的加密session有什么风险？

@Shieffan 。。。咱们说的不是一回事儿，session_id一般存储在cookie或者url里，没错的。但是session的内容一般存储在服务器上，是吧？现在我希望使用cookie来存储session的内容。把加密后的session存储在cookie里，但是安全上没有保障（现在整体都基于cookie而不使用session的认证系统都不存在了吧）。

现在问题的目的是识别非法请求。

2013-12-17 16:18:28 +08:00

回复了 kran 创建的主题 › 程序员 › 基于cookie存储的加密session有什么风险？

@yushiro 那就假设别人能直接监视浏览器cookie好了。。。^_^（我不太懂cookie伪造，应该有很多途径吧，毕竟是在客户端）

@love 用ip的话是个办法，但是现在移动端网络总是切来切去的，很容易让session都失效

@Shieffan 不是的，虽然对方得到session，但是因为是加密的所以得不到内容，目的是让换了终端后能识别这种“假”的cookie，然后生成全新的session

@wodemyworld 客户端不负责解析session，都在服务器端完成，只是基于cookie存储

@bombless 恩，蛮有意思的

2013-12-17 14:46:09 +08:00

回复了 kran 创建的主题 › 程序员 › 基于cookie存储的加密session有什么风险？

@qiayue 或者说一般用什么方法确定一个新的session（类似session_id生成）

2013-12-17 14:44:59 +08:00

回复了 kran 创建的主题 › 程序员 › 基于cookie存储的加密session有什么风险？

@qiayue 如果别人能通过某种方法得到了一个管理员的所有cookie键值，那是不是全部暴露了？
一般用什么方法阻止这种伪造cookie？

2013-12-11 18:55:35 +08:00

回复了 Livid 创建的主题 › 奇思妙想 › 如果有这样的一个地方……

现在日记和日志都到evernote，长久使用的东西还是统一比较好

2013-12-05 23:59:57 +08:00

回复了 anjunecha 创建的主题 › 问与答 › 给非程序媛妹子搭建一个写博客的地方，求问使用什么博客程序好？

lofter很好