如何安全地存儲會話ID

Question

我是學習密碼學的學生。在線搜索後，我仍然無法找到我的問題的答案。我想知道如何安全地爲電子商務網站存儲會話ID。如果可能，那又如何？請在外行的任期內解釋。期待您的幫助。

乾杯

Answer 1

會話ID是通常只是一個隨機的（不透明），其在客戶端和服務器之間傳遞的標識符。服務器使用標識符在數據庫中查找狀態信息（例如當前購物車內容）。

實際上，您必須相信客戶端會保護會話ID，因爲一旦您將它發送給它們，它就會成爲一個靜態令牌 - 沒有任何加密技術可以解決任何人都可以提供會話ID，然後假裝成用戶。

有一些東西，你可以做些什麼來緩解問題：

1. 確保您使用的是「足夠安全」隨機數生成器來構建 令牌

2. 確保的傳輸令牌儘可能安全以防止竊聽或客戶端盜用（例如，使用SSL，httponly和安全cookie標誌）

3. 給令牌一個合理的超時時間，並要求用戶使用例如定期請求新的令牌。刷新令牌或重新登錄。

很多人都在思考如何實際操作 - 查看OAuth2/OpenID Connect協議。