security - トルネードでは、セキュア Cookie は秘密ですか?

Question

シークレット Cookie 関数を使用して Cookie を設定および取得すると、http クライアントは Cookie を含む文字列を取得および送信します。

Cookie が安全であることはわかっています。クライアントは、キーを知らずに Cookie の内容を変更することはできません。

しかし、クッキーは秘密ですか？クライアントは、キーなしで文字列から Cookie を抽出できますか?

Answer 1

Cookie は署名されていますが暗号化されていないため、クライアントは含まれているデータを簡単に確認できます (base64 でエンコードされているだけです)。Cookie の内容を秘密にしておく必要がある場合は、個別に暗号化する必要があります。