提升cookie的安全性的幾個建議

1、對保存到cookie裏面的敏感信息必須加密

 

2、設置HttpOnly爲true

一、該屬性值的做用就是防止Cookie值被頁面腳本讀取。

二、可是設置HttpOnly屬性，HttpOnly屬性只是增長了攻擊者的難度，Cookie盜竊的威脅並無完全消除，由於cookie仍是有可能傳遞的過程當中被監聽捕獲後信息泄漏。

 

3、設置Secure爲true

一、給Cookie設置該屬性時，只有在https協議下訪問的時候，瀏覽器纔會發送該Cookie。

二、把cookie設置爲secure，只保證cookie與WEB服務器之間的數據傳輸過程加密，而保存在本地的cookie文件並不加密。若是想讓本地cookie也加密，得本身加密數據。

 

4、給Cookie設置有效期

一、若是不設置有效期，萬一用戶獲取到用戶的Cookie後，就能夠一直使用用戶身份登陸。

二、在設置Cookie認證的時候，須要加入兩個時間，一個是「即便一直在活動，也要失效」的時間，一個是「長時間不活動的失效時間」，並在Web應用中，首先判斷兩個時間是否已超時，再執行其餘操做。

參考資料： 提升cookie的安全性的幾個建議   http://www.studyofnet.com/news/1093.html