security - HttpSession セーフ

Question

サーブレット HttpSession はどこに保存されますか?

機密情報を HttpSession 属性に保存しても安全ですか。

ユーザーが悪意を持ってセッション属性を変更できますか?

Answer 1

HttpSession が格納される場所は、アプリケーション サーバーの実装と、デプロイヤが選択した構成によって異なります。通常はメモリに格納されますが、多くのアプリケーション サーバーでは、データベースに永続化することができます。いずれにせよ、セッションはクライアントではなくサーバーに保存されます。

ユーザーとしてクライアントを意味する場合、サーバー側に保存されるため、クライアントが変更することはできません。