將用戶名和密碼存儲在cookie中有什麼問題？

Question

我正在閱讀一箇舊應用程序，它將用戶名和密碼保存爲一個cookie - 作爲「記住我」功能。這種方法有什麼問題，如果有的話？

我猜如果有人在網站的其中一個頁面上進行了惡意JavaScript注入，但是除此之外還有其他安全風險，密碼可能會被誹謗？

Answer 1

您正在通過互聯網發送密碼，並且每個HTTP請求都是明文密碼。如果您不使用SSL，則存在竊聽風險。

Answer 2

一個明顯的例子是，如果有人在從用戶的瀏覽器發送到您的服務器時攔截了Cookie，則可以模擬該用戶。請參閱Firesheep。

Answer 3

Cookie位於客戶端，所以任何有權訪問用戶計算機的人都可以讀取它。