如果把username和auth复制到别的电脑，会有安全漏洞吗？
来源：2-9 Cookie实战之自动登陆效果
PIC021
2017-10-25 23:32
看来这个视频后，有个疑问：如果我在一台电脑登录后，把cookie里的username和auth值记录下来。接着打开另外一台电脑，把刚才的username和auth的cookie值写上去，那么也算是登录了？
也就是我无需知道该账户的账号和密码，只要把上述2个值复制后粘贴到别的电脑，也能顺利登录吧？这个安全漏洞该怎么防呢？谢谢
写回答
关注
1回答
-
- M小佳
- 2019-09-29 21:14:33
如果你能复制的话是答案肯定的
其实防止这个东西呢最好利用Session 老师也说过最好不要把敏感数据放在cookie里面
我的做法是这样
1.在服务器生成一个SessionId 你可以通过加密程序md5+自己弄的key去处理 同时记录登录方的IP地址和USER_AGENT在SessionData中
2.在客户端Cookie只保存Sessionid
3.下次客户端请求的时候可以把这个Sessionid传递到服务端 服务端检查对应的SessionData中的IP地址和USER_AGENT如果其中一个不正确,则把这个session销毁让客户重新登录
服务端还可以根据需要检查多种验证比如:
1.异地验证
2.是否可以多站点登录等等
对于涉及到金钱交易相关的话建议还是使用页面保存像淘宝一样,关闭页面时重要的Cookie都会被删除这时就需要你重新登录了
以上是个人意见 仅供参考
PHP中的会话控制
带你了解PHP中的会话控制技术。
17406 学习 · 57 问题
相似问题