如果把username和auth復(fù)制到別的電腦，會(huì)有安全漏洞嗎？
看來這個(gè)視頻后，有個(gè)疑問：如果我在一臺(tái)電腦登錄后，把cookie里的username和auth值記錄下來。接著打開另外一臺(tái)電腦，把剛才的username和auth的cookie值寫上去，那么也算是登錄了？
也就是我無需知道該賬戶的賬號(hào)和密碼，只要把上述2個(gè)值復(fù)制后粘貼到別的電腦，也能順利登錄吧？這個(gè)安全漏洞該怎么防呢？謝謝
PIC021
2017-10-25
1 回答
舉報(bào)
0/150
提交
取消
2019-09-29
如果你能復(fù)制的話是答案肯定的
其實(shí)防止這個(gè)東西呢最好利用Session 老師也說過最好不要把敏感數(shù)據(jù)放在cookie里面
我的做法是這樣
1.在服務(wù)器生成一個(gè)SessionId 你可以通過加密程序md5+自己弄的key去處理 同時(shí)記錄登錄方的IP地址和USER_AGENT在SessionData中
2.在客戶端Cookie只保存Sessionid
3.下次客戶端請(qǐng)求的時(shí)候可以把這個(gè)Sessionid傳遞到服務(wù)端 服務(wù)端檢查對(duì)應(yīng)的SessionData中的IP地址和USER_AGENT如果其中一個(gè)不正確,則把這個(gè)session銷毀讓客戶重新登錄
服務(wù)端還可以根據(jù)需要檢查多種驗(yàn)證比如:
1.異地驗(yàn)證
2.是否可以多站點(diǎn)登錄等等
對(duì)于涉及到金錢交易相關(guān)的話建議還是使用頁(yè)面保存像淘寶一樣,關(guān)閉頁(yè)面時(shí)重要的Cookie都會(huì)被刪除這時(shí)就需要你重新登錄了
以上是個(gè)人意見 僅供參考