어떻게 들리는가요? 세션 및 쿠키?

Question

쿠키와 세션 모두 장단점이 있습니다. 하지만 사용자가 로그인 할 때 사용자 이름과 암호가 포함 된 세션을 만드는 방법에 대해 생각해 보았습니다.하지만 등록 할 때 고유 한 '액세스 토큰'이 제공됩니다.

그래서 로그인하면 액세스 토큰이있는 쿠키와 사용자 이름과 비밀번호가있는 세션이 생성됩니다.

그러면 세션의 사용자 이름과 암호와 쿠키의 액세스 토큰을 가진 사용자의 데이터베이스를 검색합니다.

나는 세션 하이재킹을 막을 수 있기를 바랬다.

Answer 1

아니요, 그렇지 않습니다. 세션은 기본적으로 쿠키의 토큰이므로 모든 작업은 두 번째 토큰을 도난 당하게해야합니다. 누군가 훔칠 수 있다면 두 명을 훔칠 수 있습니다. 나는 세션 하이재킹을 막기위한 전략을 당신에게 제안한다.