問題タブ [session-cookies]

keep me logged inアプリケーションにログインするためのまたはRemember meオプションを使用して、この機能を実現するための最良の方法を実行しますか？

これらのためにブラウザにCookieを保持する必要があるかどうか、または何ですか？アプリケーションでこれを達成するための最良の方法はどれですか

Rails 3、devise、cancan を使用しています。Cookie をサブドメイン固有に設定し、サブドメインとユーザー名を認証キーとして使用します。

すなわち

そのため、特定のサブドメインでユーザーを認証すると、そのユーザーは他のサブドメインにアクセスできません。彼の Cookie セッション (firebug) を編集し、Cookie のドメインを変更 (つまり、foo.mydomain.com から fee.mydomain.com に変更) すると、ユーザーは新しいサブドメインへのアクセスを取得します。

cancanでアクセスをブロックできることはわかっていますが、理想的には認証によってユーザーを制限したいと考えています。どういうわけか、もう少し安全に感じられ、必要な構成が少なくなります (ability.rb の行が数行少なくなります)。

この死んだ単純なハッキングを防ぐ方法はありますか?

同じ Cookie を 2 つ持つことは可能ですか

• 名前
• ホストと
• 道

例えば：

クッキー #1

クッキー #2

私の質問: これら 2 つの Cookie の両方を同時に持つことが技術的に可能でしょうか?

トークンベースの認証についての私の理解は、認証時に（おそらくssl経由で）、その場で安価なユーザー検証のためにトークンがユーザーに渡されるということです。これの 1 つの実装は、セッション管理のためにユーザーに渡される Cookie を生成することです。

しかし、私の理解では、トークン ベースの認証 (少なくとも Cookie による) は、firesheep のような中間者攻撃の影響を受けやすいということです。

この主要なセキュリティ問題を回避する実装の他の方法はありますか、それとも私は tba について根本的な誤解を持っていますか?

安全なセッション Cookie セットがあります。Chrome Developer Tools コンソールとFirefoxのFirebugで見ているので、そこにあることは知っています。

JSPから読み取ろうとすると、次のようになります。

私はいつも得るnull。

私がこれをやろうとしているページは次のとおりです。

• Cookie が設定されている同じドメイン (この場合は「localhost」)

• セキュア( HTTPS )

Cookie の値を読み取るにはどうすればよいですか? 私は何を間違っていますか？

私はウェブサイトwww.example.comを持っていますユーザーがhttp://example.comにアクセスしたときにログインし、次にhttp://www.example.comを閲覧すると、ログインしていないと表示されます。その理由は、彼がhttp：// exampleにアクセスしたときに設定されたCookieが、同じユーザーがhttp://www.example.comにアクセスしたときにサーバーに送信されないためです。

ユーザーがいずれかのサイトにログインした場合、両方のサイトにログインしているように表示されるようにします。私はモバイルサイトも持っていますhttp://m.example.com。ここでもログインしているユーザーを表示したい。

WebアプリケーションにPHPとZendFrameworkを使用しています。

httpリクエストを実行し、現在のスクリプトで受信したすべてのCookie（特にCookieを識別するセッション）をこのリクエストに渡したいと思います。次に、さらに操作するために結果を文字列に保存したいと思います。PHPでこれを行うための最良の方法は何ですか？

私は PHP 5.2 を使用しており、共有ホストを使用しているため、セッション Cookie を自分のフォルダーに保存することに決めましたが、ガベージ コレクションはないようです。Cookie はそこに保存され、削除されることはありません。どうすればこれを修正できますか? 私が使用しているコードは

セッションは、私がテストした他のすべてのブラウザーで完全に機能します。

でセッションIDを取得しようとするとsessionid = request.COOKIES['sessionid']、次のエラーが発生します。KeyError: 'sessionid'

これは私のsettings.pyにあるものです：

サイトはvb.is、fiskifrettir.vb.is、hestabladid.vb.isです。

サーバーのセットアップは次のとおりです：apache2（mod_wsgi）およびnginx

次のドメインを持つ.netWebアプリケーションがあります：www.domain.com sub.domain.com files.domain.com

ユーザーがdomain.comまたはsub.domain.comにログオンするときに、セッション状態を共有するようにします（つまり、両方のドメインに同時にログインします）。これは、セッションcoookieのドメインを「.domain.com」に設定することで可能になります。ただし、私の問題は、セキュリティの問題のためにドメイン「files.domain.com」がセッション状態になってはならないことです（そのドメインでホストされているユーザー作成ファイルからのxss攻撃が問題です）。

ASP.NETで、これら2つのドメインに同じasp.netセッションIDを使用することはできますが、3番目のドメインには使用できませんか？

前もって感謝します！