ruby-on-rails - 如果整个站点都通过 ssl 提供服务，签名的 cookie 会提高安全性吗？

Question

使用 Rails，我正在完成一个教程，作者提倡使用以下方式存储用户 ID：cookies.permanent.signed[:user_id] = user.id

这似乎很明智，但我很好奇：如果整个事情都是通过 ssl 提供的，这真的会增加我的网站的安全性吗？

据我了解，cookie 与所有其他响应内容一起被加密。签名的 cookie 将如何改善问题？

标签： ruby-on-railssecuritycookies

Answer 1

签名 cookie 可以保护您免受恶意客户端操纵值，而不仅仅是中间人。

无论您的 SSL 连接有多安全，[没有签名的 cookie] 都无法阻止我将本地浏览器 cookie 更改为包含user_id=1. 很多时候这不是什么大问题，因为应用程序可以将 cookie 值视为不受信任，但签名意味着它们可以被信任：客户端获得该值的唯一方法是服务器先前发送它。