Trạng thái xác thực web - Phiên so với cookie?

Question

Cách tốt nhất để xác thực và theo dõi trạng thái xác thực người dùng từ trang này sang trang khác là gì? Một số người nói trạng thái phiên, một số nói cookie?

Tôi có thể sử dụng biến phiên có ID của người dùng và khi xác thực, instatiate một lớp người dùng tùy chỉnh có thông tin của người dùng. Sau đó, trên mọi trang, xác minh biến phiên vẫn hoạt động và truy cập dữ liệu người dùng cơ bản từ đối tượng Người dùng?

Mọi suy nghĩ? Bất kỳ ví dụ tốt nào?

Answer 1

Không có hoàn hảo cách để làm điều đó. Nếu bạn lưu trữ nó trong một cookie bạn sẽ mất flak rằng cookie có thể bị đánh cắp. Nếu bạn lưu trữ nó trong phiên, bạn sẽ mất flak vì phiên có thể bị tấn công.

Cá nhân, tôi có xu hướng nghĩ rằng một phiên là đáng tin cậy hơn một chút vì điều duy nhất được lưu trữ trên máy khách là khóa phiên. Dữ liệu thực tế vẫn còn trên máy chủ. Nó chơi các thẻ gần hơn một chút với ngực, nếu bạn muốn. Tuy nhiên, đó chỉ là sở thích của tôi, và một hacker giỏi sẽ có thể vượt qua được sự an toàn quá mức bất kể.

Bất kể bạn làm gì, đừng cố tự mình triển khai. Bạn sẽ hiểu sai. Sử dụng hệ thống xác thực do nền tảng cụ thể của bạn cung cấp. Bạn cũng cần đảm bảo rằng bạn có các biện pháp phòng ngừa an toàn đầy đủ bảo vệ mã thông báo xác thực.

Answer 2

Tôi không biết nếu cách TỐT NHẤT của nó để làm điều đó, nhưng chúng tôi cảm thấy thoải mái với cách chúng tôi làm điều đó.

chúng tôi có đối tượng người dùng tùy chỉnh mà chúng tôi khởi tạo khi người dùng xác thực, sau đó chúng tôi sử dụng Phiên để duy trì đối tượng này trên ứng dụng.

Trong một số ứng dụng, chúng tôi kết hợp nó với việc sử dụng cookie để kéo dài phiên liên tục.

Answer 3

Vấn đề với các phiên ưu tiên trên cookie cho 'bảo mật' là phiên sử dụng cookie để xác định người dùng, do đó, mọi vấn đề với cookie đều có trong phiên.

Một điều cần lưu ý khi sử dụng Phiên là vị trí dữ liệu. Nếu bạn có kế hoạch chia tỷ lệ cho nhiều máy chủ web tại bất kỳ thời điểm nào, bạn cần lưu trữ rất cẩn thận lượng lớn dữ liệu trong các đối tượng phiên.

Vì bạn đang sử dụng .NET, về cơ bản bạn phải viết nhà cung cấp cửa hàng phiên của riêng mình để xử lý việc này, vì InProc sẽ không vượt quá 1 máy chủ, nhà cung cấp DB chỉ là một ý tưởng tồi hoàn toàn (Toàn bộ vấn đề là để AVOID DB đọc ở đây trong khi mở rộng quy mô, không thêm nhiều hơn), và StateServer có rất nhiều vấn đề về dung lượng. (Trong quá khứ, tôi đã sử dụng một nhà cung cấp cửa hàng phiên memcached với một số thành công để chống lại vấn đề này).

Tôi sẽ google cho cookie đã ký và xem xét việc sử dụng cookie thay vì cookie hoặc phiên thông thường. Nó giải quyết rất nhiều mối quan tâm về bảo mật và loại bỏ các vấn đề địa phương với các phiên. Hãy nhớ rằng họ quay trở lại và ra trên mọi yêu cầu, do đó, lưu trữ dữ liệu một cách tiết kiệm.

Answer 4

Cookie và phiên của mình không thực sự đủ. Chúng là công cụ để sử dụng để theo dõi người dùng và những gì họ làm, nhưng bạn thực sự cần phải suy nghĩ về việc sử dụng cơ sở dữ liệu để duy trì thông tin về người dùng cũng có thể được sử dụng để bảo mật ứng dụng.

Answer 5

Phiên là Cookie ...