如何有效实施Cookie防劫持措施？

本文共计568个文字，预计阅读时间需要3分钟。

Cookie与Session是HTTP协议的无状态特性下，为了保持和跟踪用户状态而引入的技术。

Cookie包含了浏览器客户端的用户凭证，相对较轻量。

Session则维护在服务器端，适用于处理相对较大的用户状态。

Cookie与session

HTTP天然是无状态的协议, 为了维持和跟踪用户的状态, 引入了Cookie和Session. Cookie包含了浏览器客户端的用户凭证, 相对较小. Session则维护在服务器, 用于维护相对较大的用户信息.

用通俗的语言, Cookie是钥匙, Session是锁芯.

Cookie简单理解就是钥匙, 每次去服务端获取资源, 需要带着这把钥匙, 只有自己的锁芯(资源), 才能打开.。

但是如果钥匙被别人拿了, 那别人就可以冒充你的身份, 去打开你的锁芯, 从而获取你的信息, 甚至挪用你的资金. 这是非常危险的.

XSS攻击:

其就是利用站点开放的文本编辑并发布的功能, 从而造成攻击，就是输入javascript脚本, 窃取并投递cookie信息到自己的站点.

比如攻击者以一个普通用户登录进来，然后在输入框中提交以下数据：

有了该session-id，攻击者在会话有效期内即可获得管理员的权限，并且由于攻击数据已添加入数据库，只要攻击数据未被删除，那么攻击还有可能生效，是持久性的。