在 ColdFusion 中，从 http 切换到 https 后是否需要重新建立会话令牌？
ColdFusion 会话由 CFID、CFTOKEN 和 jsessionid 值的组合支持。当第一次访问 cfm 页面时，会建立这些值，从而创建会话。
我的问题是，如果 SESSION 是在 HTTP 下创建的，然后单击链接以访问 HTTPS 下的登录页面，那么这些 SESSION 令牌值是否会受到损害，因为它们是在 http 下创建的（即，它们作为会话的一部分以明文形式传递）要求）。
我猜测有人敏锐地嗅探公共路由器可以获取这些值，然后从那时起欺骗会话。我知道，这肯定是罕见的情况，但仍然令人担忧。
ColdFusion sessions are supported with a combination of CFID, CFTOKEN and jsessionid values. When a cfm page is first hit, these values are established thus creating the SESSION.
My question is, if the SESSION is created under HTTP and then a link is clicked to get to a login page under HTTPS, are those SESSION token values compromised because they were created under http (i.e. they were passed in clear text as part of the request).
I'm guessing that someone astutely sniffing the a public router could get those values and then spoof the session from then on out. It would definitely be a rare occurrence, I know, but nevertheless a concern.
如果你对这篇内容有疑问，欢迎到本站社区发帖提问 参与讨论，获取更多帮助，或者扫码二维码加入 Web 技术交流群。
绑定邮箱获取回复消息
由于您还没有绑定你的真实邮箱，如果其他用户或者作者回复了您的评论，将不能在第一时间通知您！
发布评论
评论（1）
是的，如果您通过非安全通道传递您的 cookie，它们将很容易被窃听和会话劫持。 维基百科在其会话劫持页面上列出了一些良好的预防机制。也许最简单的方法就是按照 invertedSpear 所说的那样，在成功登录后重新生成会话，并在登录后保持在 HTTPS 上。
Yes, your cookies will be vulnerable to eavesdropping and session hijacking if you pass them over a non-secure channel. Wikipedia has some good prevention mechanisms listed on their Session Hijacking page. Probably the easiest is to do as invertedSpear said and just regenerate the session after a successful login, and once logged in, stay on HTTPS.