세션 관리를 위해 위험한 문제가 있습니까?

서명 된 쿠키의 내용은 위험물로 검사 할 수는 있지만 변경할 수는 없습니다. Itsdangerous을 클라이언트 측 세션 관리에 사용할 때 알려진 보안 문제 또는 고려 사항이 있습니까?세션 관리를 위해 위험한 문제가 있습니까?

어떤 암호를 저장하지 않습니다 문제의 세션,하지만 분명히 사용자를 식별하는 몇 가지 정보와 같은

사용자 ID
URL은
사용자 역할 (들)

를 아바타

출처

2011-11-07 poezn

서명에 시간 초과를 사용하지 않으면 공격자가 다른 사용자 (또는 관리자)의 쿠키를 간단히 바꿀 수 있습니다. 세션 ID는 더 불투명합니다. 즉, 공격자가 각 공격자를 차례로 시도해야하지만, 서명 된 문자열을 즉시 (즉, 개방형 프록시 서버에서) 검사 할 수 있습니다.

출처

2012-10-03 16:53:11 mattbasta

REST API 엔드 포인트에 대한 한 가지 접근 방법으로 로그인시 비밀번호로 서명 된 문자열을 서버에서 제공 한 다음 사용자 ID와 함께 각 요청시 보내지고 만료 기간 (예 : X 시간)을 갖습니다. 서명 된 문자열은 서버에도 저장됩니다. 로그 아웃시 문자열은 서버에서 제거됩니다. 그렇게하면 문자열 (토큰)이 2 시간 동안 임시 암호로 작동합니다 (또는 로그 아웃이있는 경우 더 적음). – Soferio

세션 관리를 위해 위험한 문제가 있습니까?

답변

관련 문제