쿠키가없는 세션은 얼마나 중요합니까? 웹 애플리케이션 프레임 워크가이를 지원해야합니까?

Question

새로운 웹 응용 프로그램 프레임 워크 (Second WAF)를 프로그래밍 중입니다. 쿠키가없는 세션을 지원해야하는지 아닌지 궁금합니다.

누가 그것을 사용하고 누가 필요로합니까?

Answer 1

위해 나는 궁금했다.

나는 이것이 주로 사용자베이스에 달려 있다고 생각합니다. 내 조직에서는 여러 인트라넷 응용 프로그램을 지원합니다. 우리는 또한 사용자 데스크톱을 제어합니다. 데스크톱 환경을 제어하기 때문에 브라우저 설정을 제어하고 쿠키가 활성화되도록 할 수 있습니다. 이 때문에 세션 하이재킹 위험이 증가하므로 쿠키가없는 세션을 허용 할 이유가 없습니다.

누가 그것을 사용하고 누가 필요로합니까?

최종 사용자의 브라우저 설정에 관계없이 세션을 지원해야하는 사용자는 쿠키없는 세션을 구현해야합니다. 그렇게 함의 의미를 명심하십시오.

Answer 2

그것은 좋은 기능이지만 여러 측면

• 세션 ID를 포함하는 URL이 Google과 같은 웹 거미에 의해 캐시 될 경우 계정
  으로 수행 할 수있다, 당신은 경우에 콘텐츠를 제공 할 수있을 것입니다 세션의 ID가 URL
• 보안에 제공된 ID와 다릅니다. 충분히 스마트하게 구현하지 않으면 사용자가 URL을 세션 ID가 포함 된 다른 사용자에게 보낼 수 있으므로 첫 번째 사용자의 세션을 도용 할 수 있습니다. 우리가 쿠키 세션을 지원하거나하지 말아야하는 경우 인스턴스 ASP.Net1.1의 쿠키 세션 메커니즘 was considered vulnerable