ユーザーが既知のシステムを使用していて、IP が変更されていない場合、Cookie-IP マッチング システムを使用して、ユーザーがログイン データを入力しなくても自動的にログインできるようにすることを検討しています。
このポリシーはまともですか?それとも、重大なセキュリティ ホールを開いているのでしょうか?
3 に答える
2
一部の人々が公共のマシンを使用する限り、これは潜在的なセキュリティ上の問題になる可能性があります。したがって、オプションにします。また、一部のマシンでは動的 IP アドレスが使用されていることも考慮する必要があります。この場合、提案した方法は機能しません。
ただし、何よりもパスワードを Cookie に保存しないでください。
于 2012-04-06T08:41:27.630 に答える
1
もちろん、これはセキュリティホールです。ユーザーがWebサイトにログインしてログアウトするのを忘れた場合、このコンピューターを使用しているすべてのユーザー（コンピューターに同じアカウントを持つ）がWebサイトにログインできるようになるためです。
この問題はすべてのWebサイトでも発生することに注意してください。通常、セッションの有効期間に限定されます。
これがすべてのWebサイトの仕組みであるため、これが本当のセキュリティホールではないと思いますが、ユーザーがセキュリティに不注意になることは間違いありません。それは椅子/キーボードインターフェースのセキュリティホールです：P
@Ed Healが言っているように、パスワードをCookieに保存せず、代わりにランダムトークンを保存してDBに保存します。ログインプロセスでは、DBに保存されているCookieがCookieのCookieと等しいかどうかを確認する必要があります。
于 2012-04-06T08:43:19.033 に答える
1
「ログアウト」リンクを作成するだけで、Cookie を削除する直前に、電子メールを選択し、Cookie を再生成するハッシュ付きのリンクをメールで送信できます。そのため、公共のマシンでログアウトできます。
データベースで処理する前に Cookie をサニタイズします。
于 2012-04-06T08:30:41.913 に答える