我正在考虑使用 cookie-ip 匹配系统自动登录用户，如果他们在已知系统上并且他们的 ip 没有改变，他们不必输入他们的登录数据。
这个政策是体面的还是我打开了一个重大的安全漏洞？
问问题
111 次
3 回答
2
就某些人使用公共机器而言，这可能是一个潜在的安全问题。所以让它成为可选的。您还需要考虑某些机器使用动态 IP 地址。您提出的方法在这种情况下不起作用。
但最重要的是不要将密码存储在 cookie 中。
于 2012-04-06T08:41:27.630 回答
1
只需创建“注销”链接，在您删除他们的 cookie 之前，选择他们的电子邮件并用哈希发送给他们的链接，这会重新生成他们的 cookie。所以他们可以在公共机器上注销。
在通过数据库处理之前清理 cookie。
于 2012-04-06T08:30:41.913 回答
1
这当然是一个安全漏洞，因为如果用户登录到您的网站并忘记注销，任何使用这台计算机（在计算机上具有相同帐户）的人都可以登录到您的网站。
请注意，所有网站也会出现此问题，只是它通常仅限于会话生命周期。
既然所有网站都是这样工作的，我不认为这是一个真正的安全漏洞，但它肯定会鼓励用户对安全性漠不关心。这是一个椅子/键盘接口安全漏洞：P
正如@Ed Heal 所说，不要将密码存储在 cookie 中，而是存储一个随机令牌，而不是将其保存在数据库中。登录过程应检查存储在 DB 中的 cookie 是否与 cookie 上的相同。
于 2012-04-06T08:43:19.033 回答