security - 非認証 Cookie (つまり、ユーザー エクスペリエンスを向上させるだけの Cookie) を暗号化する必要がありますか?

Question

私は自分のサイトで Cookie の使用を実装しています。いくつかはユーザー認証 Cookie (暗号化することが重要であることはわかっています) ですが、他のものは単にユーザー固有のデータ (表示設定など) を保存するためのものです。私の質問は次のとおりです。これらの Cookie はユーザー エクスペリエンスを向上させるために存在し、これらの Cookie を解読するためにサーバーに繰り返しアクセスすると、明らかにユーザー エクスペリエンスが遅くなります。これらの Cookie を暗号化する必要がある理由はありますか? これを怠ると、ユーザーはクライアント側でのみ発生する Cookie の読み取りではるかにスムーズなエクスペリエンスを得ることができます。ありがとう

Answer 1

あなたは悪い例で有効な質問をしました。重要でない Cookie は暗号化する必要はありません。

しかし、重要でないCookie については、言語の選択、ページのテーマ、お気に入りの検索などを検討します。また、転送する情報は機密ではないため、暗号化する必要はありません。しかし、それでもそれらの値をチェックする必要があることを意味します。ユーザーが値を変更できるため、ページ コンテンツに直接含まれず、暗黙的に信頼されません。

ユーザーバスケットについては（かなり重要だと思います）...データをセッションに保持し、ユーザーにセッションCookieを発行する必要があります....それだけです。または、Cookie を使用する場合は、暗号化して内容を確認してから、その Cookie または Cookie から受け取ったデータに対して決定または操作を行います。

Cookie を暗号化することは、必ずしも値を変更できないことを意味するわけではなく、読み取ることができないことを意味するので、常にいくつかのコンテキスト情報を暗号化する必要があります。ユーザー名、時間、ID などを入力し、復号化後にそれらを検証します。