每個請求發送Cookie來識別用戶？

Question

我並沒有對整個會話管理事務感興趣。

現在我已經實現this照顧的登錄過程，也this例子來保護我的服務從XSRF攻擊。

但現在，我有它，我想：

• 如果我打開SSL，是餅乾安全連接建立起來之前發送？那麼這個會話ID（cookie）是否安全？
• 發送每個請求上的cookie以識別用戶是否保存？例如。如果用戶想要查看他的/她的設置，以確保它不是試圖從其他用戶檢索設置的虛假請求。這是否明確我的意思？
  我會在每個請求上發送會話ID，並將其與數據庫中的會話ID進行比較，如果請求令牌（XSRF安全性）良好，我執行請求 - 或者開銷過大？

如果我在這裏做的是100％正確的，並且我想確保不會不必要地破壞我花時間實施的任何安全措施，我仍然不十分自信。

Answer 1

SSL或TLS連接在HTTP請求通過線路發送之前建立，因此請求中的數據被加密。

我不確定我是否理解你的第二個問題，但很多Web應用程序都使用基於cookie的身份驗證來識別用戶。由於Cookie會自動發送到網站，因此您必須保護自己免受CSRF攻擊。