8

我真的很喜欢将会话数据保存在用户浏览器上的想法，但不喜欢会话 cookie 在游戏框架中不是很安全的事实。如果有人窃取了 cookie，他/她可以使用它来永久访问该站点，因为 cookie 签名不会过期，并且 cookie 过期在这里没有帮助，因为如果有人窃取了 cookie，它不会停止重复使用 cookie。

我添加了时间戳以使会话在 1 小时后过期，如果用户仍在使用该站点，则每 5 分钟更新一次时间戳，因此 cookie 签名正在滚动和过期。

我对 scala 和 play 框架还很陌生，所以任何建议或更好的方法来实现同样的目标将不胜感激。

trait Secured {
  def withAuth(f: => String => Request[AnyContent] => Result) = {
    Security.Authenticated(username, onUnauthorized) { user =>
        Action(request => {

          val sessionRolloverPeriod = 300
          val sessionExpiryTime = 3600
          val sessionCreationTime: Int = request.session("ts").toInt
          val currentTime = System.currentTimeMillis() / 1000L

          if(currentTime <= (sessionCreationTime + sessionExpiryTime)) {
            if(currentTime >= (sessionCreationTime + sessionRolloverPeriod)) {
              f(user)(request).withSession(request.session + ("ts" -> (System.currentTimeMillis() / 1000L).toString))
            } else {
              f(user)(request)
            }
          } else {
            Results.Redirect(routes.Auth.login()).withNewSession
          }
        }
      )
    }
  }
}

每 5 分钟生成的 Cookie：

The cookies produced every 5min: 
Cookie:PS="a6bdf9df798c24a8836c2b2222ec1ea4a4251f301-username=admin&ts=1381180064"
Cookie:PS="D7edg7df709b54B1537c2b9862dc2eaff40001c90-username=admin&ts=1381180380"
4

1 回答 1

2

对我来说似乎是合理的，我可能把它放在服务器端，给客户端一个“会话 ID”并在用户注销时删除会话。在客户端进行这一切意味着如果会话被盗，除了等待超时之外，没有办法使会话无效。

于 2013-10-08T12:18:49.540 回答