security - 将安全字段存储在 cookie 中是否正确？

Question

我尝试使用 ASP.Net Core Identity 在 cookie 中存储额外的字段。

其中一个字段是角色名称。

将角色名称存储在 cookie 中是否安全？

例如，用户是否可以将角色名称从“normalUser”更改为“admin”？

我正在使用 ASP.Net Core 3.1 版本。

标签： securityasp.net-corecookiesasp.net-identitysession-cookies

Answer 1

切勿将敏感数据存储在 cookie 中。正如 mason 在评论中所说，cookie 可以被修改，这意味着它们可以被利用。此外，您的 cookie 可能是纯文本的，这更糟。

我建议将此类数据安全地存储在后端。

会话绝对比 cookie 更安全，因为它们存储在服务器端，但它们也可能受到攻击（会话劫持）。您需要正确配置它们以获得更好的安全性。