security - URL 中的 flask-SocketIO sessionId 不安全

Question

我想使用烧瓶-Socketio。但问题是sessionId（sid）是在URL中传输的。这意味着任何嗅探的人都可以窃取 sessionId。烧瓶如何将 sessionId 发送回 Post？

提前感谢您的帮助！

Answer 1

您的生产服务器应该使用 SSL，这样没有人可以看到交换的请求和响应的内容。

URL 中的会话 ID 是 Socket.IO 协议的一部分，而不是 Flask-SocketIO 包的选择。准确地说，服务端在 JSON 响应中发送会话 id，然后客户端在后续请求中将其添加到 URL 中。这就是协议的工作方式。

JSON 响应中包含的数据如果未加密，也可以由中介获取，这不是 URL 特有的问题。解决方案是使用加密。