代码之家 › 专栏 › 技术社区 › uptoyou

HTTP会话安全性和会话ID

webserver https security http web-services

uptoyou · 技术社区 · 6 年前

如果典型的web服务器通过会话ID(存储在Cookie中)确定用户,那么是什么阻止我从另一个知己用户那里替换会话ID,这样我就可以像一个经过身份验证/授权的用户那样做呢?是否有其他机制来确定真正的会话?

1 回复 | 直到 6 年前

lukas-reineke 6 年前

会话ID通常是安全生成的令牌,在一段时间后过期。
所以,是的,如果你从其他用户那里得到一个令牌,你可以冒充他。

事实上,猜测这个令牌甚至比猜测用户密码还要难。而且您只有很短的时间来这么做,在这之后令牌将过期。

推荐文章

Farid · 限制django每个客户的访问

2 年前

josegp · 在Nmap中-p-tag是什么意思

2 年前

Anony Mous · Python内置的哈希方法可靠且安全吗?[已关闭]

2 年前

Danny Gersh · 让网站成员上传js供其他成员使用有什么危险?

2 年前

Anonymous Creator · 在javascript中重新使用已通过身份验证的mvc客户端

6 年前

sauumum · 相互身份验证:ServerHelloDone之后“收到致命警报:握手失败”

6 年前

kramer65 · 如何根据网站用户在S3上添加非公共网站文件?

6 年前

derf26 · 如何阻止React Web包包含包中的脚本。json

6 年前

user8663960 · 最好也是最简单的方法是保护登录表单的安全

6 年前

Nyein Chan Wynn · Android:如何在生成指纹保护的密钥后立即使用它进行加密?

6 年前