如何保护 cookie 免受攻击

Question

我想在会话期间使用 cookie 来存储 userId，这样可以避免不必要的数据库往返。该userId用于访问一些用户特定信息。由于 cookie 可以轻松编辑，我现在担心安全问题。

为了禁止登录用户编辑其 userId 并访问其他用户的信息，我使用了一种非常简单的方法。我在 userId cookie 创建时刻添加了一个 cookie，它为其存储哈希值。在散列时，我使用硬编码的 64 字节密钥。从 cookie 检索 userId 时，始终会检查它是否与其散列值匹配。

这基本上是我的代码：

public static int GetUserId(Page page)
        {
            int userId;

            if (page.Request.Cookies["userId"] != null && page.Request.Cookies["userIdHashed"] != null)
            {
                string userIdHashed = page.Request.Cookies["userIdHashed"].Value;
                string userIdCoockie = page.Request.Cookies["userId"].Value;
                string coockie = (userIdCoockie + "945AFF2FD0F1D89B4B1DBEB1B0C5D3B8B5DCE000AAEA331EB0C3F3A68C3865EFA73BC6EBF30C8DF1AD6B9ECB7094DA5B0C1AF36B5BBD096E3D873E9589E3F664").GetHashCode().ToString();
                if (userIdHashed == coockie)
                {
                    userId = Int32.Parse(userIdCoockie);
                }
                else
                {
                    throw new Exception("UserId does not match!");
                }
            }

                else
                {

                    userId = ...//here userId is being retrieved from the data base and than:

                    page.Response.Cookies["userId"].Value = userId.ToString();
                    page.Response.Cookies["userId"].HttpOnly = true;
                string userIdHashed = (userId.ToString() + "945AFF2FD0F1D89B4B1DBEB1B0C5D3B8B5DCE000AAEA331EB0C3F3A68C3865EFA73BC6EBF30C8DF1AD6B9ECB7094DA5B0C1AF36B5BBD096E3D873E9589E3F664").GetHashCode().ToString();
                page.Response.Cookies["userIdHashed"].Value = userIdHashed;
                page.Response.Cookies["userIdHashed"].HttpOnly = true;
            }

            return userId;
        }

所以我的问题是：

• 可以考虑这种方法吗 在这种情况下足够可靠吗？

• 如果不是，我应该修改它以及如何修改或 我应该寻找不同的东西吗 （例如通过加密/解密 系统.安全.密码学作为 推荐此处）？

还有一个问题：考虑到用户也可以轻松修改 cookie，设置 HttpCookie.HttpOnly = true 来阻止 javascript 访问 cookie 真的有意义吗？

更新

非常感谢 Kerrek SB 和 Darin Dimitrov 的回答，他们都同意，考虑到已经内置了存储 cookie 的受保护机制，尝试自己保护 cookie 是没有意义的。回发之间的此类信息。

建议的选项是：

• 使用 ASP.NET cache （但我相信它通常应该 存储应该在用户之间共享的信息，所以我看看 其他两个选项）。
• 将带有 userId 的自定义字符串添加到 UserData 部分 FormsAuthenticationTicket。
• 使用会话状态。

所以目前我正在后两者之间做出决定。

更改 FormsAuthenticationTicket 并不简单。此外，它不适用于无 Cookie 表单身份验证（如所述 此处）。

使用会话状态要容易得多，但它会影响性能，因为它将值存储在服务器内存中。然而，在我的例子中，情况可能并没有那么引人注目，因为我们只存储 int 类型的 userId。

所以现在最后一个选择对我来说看起来更好。然而，如果其他人能够评论、支持或批评所讨论的任何选项，我将不胜感激。

提前致谢！

Answer 1

你似乎在这里重新发明了一些轮子。虽然在执行某些标准代码时这可能是可以接受的，但当涉及安全时，这几乎总是会导致灾难性的后果。

要跟踪主动登录的用户，我建议您使用表单身份验证（和这是另一个有用的教程）。它使用身份验证 cookie 来跟踪用户。这些 cookie 由框架安全加密，因此无法使用服务器 machine.config 文件的 部分修改它们。

在您的代码中，访问当前登录的用户名所需要做的全部工作如下：

public static string GetUserId(HttpContextBase context)
{
    if (context == null || !context.User.Identity.IsAuthenticated)
    {
        return null;
    }

    return context.User.Identity.Name;
}

您确实不应该手动处理所有这些内容，尤其是当 ASP.NET 框架具有内置机制时。

Answer 2

这是非常迂回和晦涩的。如果您已经有一个活动会话，为什么不将此类数据（请注意，客户端永远不需要知道）存储在服务器端会话数据中？

实际上，您需要与客户端交换的只是会话 ID。

Answer 3

您还可以使用安全套接字层加密 cookie
<代码>
HttpCookie cookie = new HttpCookie();
cookie.安全 = true;