如何隱藏您放入cookie中以供檢索的信息？

Question

我的問題是關於服務器端的信息，需要在客戶端進行檢索，但更具體地說，對於購物車。我學會了用純文本的方式來完成，但我不確定如何去隱藏數據庫中的內容。我做了一些研究，我發現有兩種選擇。

1. 散列cookie中的任何內容，並在數據庫中保存散列版本以便進行比較。
2. 加密，簽名，如果被篡改，由於缺少簽名，它將被忽略。 （不太清楚如何製作自己的加密文件）

這兩種方法都是大多數電子商務網站使用的，我應該使用什麼，或者是否有更廣泛使用的一種？

Answer 1

不要在cookie中放入任何不想由用戶控制的東西。該cookie受用戶的控制。基本上，不要相信cookie。如果您的設計強迫您信任cookie，請更改它。

Answer 2

我沒有一個電子商務網站，但這裏是我遵循一些有用的提示：

1. 決不存儲在cookie中任何可能被用來危害您的網站的完整性/安全
2. 只存儲對其他人完全無用的信息，但你。
3. 想出一種方法來「掩飾」cookie中的數據。

下面是一個簡單的例子：假設您需要將用戶的名稱存儲在cookie中。首先不要存儲名稱，因爲這違反了第一條提示。相反，請創建一個用戶標識。僅僅創建一個用戶ID還不夠好，因爲這個數字仍然是一個重要的信息。爲了使數據完全無用於其他人，請將其僞裝。我的意思是這樣的：假設你的用戶ID是1234.而不是存儲1234，對它進行某種數學運算然後存儲它。爲了簡單起見，我們假設你將數字平方。現在，用戶標識是1522756，可能比您的實際用戶標識允許的數字更多，因此除了您之外，其他任何人都無法使用這些數據。爲了使數據再次有用，只需簡單地取數字的平方根即可。對於一個真實的場景，你可能希望執行一個更復雜的功能，只要確保你所做的任何操作都可以顛倒過來給出原始數字。

檢查以確保cookie未被篡改也是一個好主意。