HTML5网络存储(localStorage)是否比cookie更具安全优势？

Question

我正在寻找替代cookie的方法,我在这里读到了关于HTML5网络存储的内容,我在这里阅读了一个更简单的解释,但我仍然没有完全了解它是如何工作的.有人可以提供一些稍微非技术性的解释,以便我可以理解技术方面的内容.它说关于浏览器必须存储键值对,但存储的位置和方式以及为什么其他站点无法访问？为什么它不被视为另一种形式的cookie？

1. 我正在寻找一种全面而完整的cookie替代品; 如果我的组织想要将其所有网站替换为使用cookie来代替网络存储,那么我们可以轻松地对该要求说"是"吗？我们假设只使用了最新的浏览器.

2. 与Cookie相比,网络存储如何以及以何种方式增强安全性？它是否有可能以其他方式危及安全性？有没有任何真实生活经历可以分享利弊的人？

Answer 1

localStorage和cookies之间的区别

cookies和localStorage的保护由相关的网域存取由同源策略.

区别在于localStorage只能通过JavaScript访问,而cookie可以通过JavaScript ¹ 访问,并随每个HTTP请求一起发送.

使用localStorage而不是cookie没有太大的安全优势.两者之间的区别在于目标不同:localStorage可用于您只在JavaScript中使用的东西,而cookies可用于在服务器上存储您需要的东西(以及).

任何有权访问用户计算机浏览器的人都可以访问这两者,并且可以通过在网页上执行的JavaScript访问localStorage和cookie.(对于后者,请参阅下面的例外情况.)

如果您输入localStorage或document.cookie在浏览器控制台中,您可以看到此信息.

1. 您可以在cookie上设置HTTPOnly标志,以便无法通过JavaScript访问它.

如何使用localStorage

由于已经有很多关于使用localStorage的信息,我只会参考两个记录它的网站:

• Mozilla开发者网络中的DOM存储
• 潜入HTML5的本地存储

如何存储数据

数据的存储方式因浏览器而异.下面,我提供有关Mozilla Firefox如何存储cookie和本地存储的信息.

注意:Mozilla支持部门的这篇文章提供了有关如何查找Firefox配置文件的说明.

饼干

Firefox将您的cookie存储在名为的文件中的配置文件夹中cookies.sqlite.这是一个SQLite数据库.使用SQLiteStudio打开文件显示数据库包含一个表moz_cookies.

表结构

该表的结构如下:

表内容

这是我的cookies.sqlite数据库的一部分内容:

localStorage的

Firefox将您的localStorage数据存储在名为的文件中的配置文件夹中webappsstore.sqlite.这是一个SQLite数据库.使用SQLiteStudio打开文件显示数据库包含一个表webappsstore2.

表结构

该表的结构如下:

列内容的结构:

• 范围:
  • <反向域名> :<协议> :<端口号>
• 键:
  • 存储值的名称.
• 值
  • 存储的值
• 安全
  • 此列未使用.
• 所有者
  • 此列未使用.

表内容

这是我的webappsstore.sqlite数据库的一部分内容:

这与我localStorage在网页https://login.persona.org上输入控制台时获得的数据相同.

结论

如您所见,浏览器以相同的方式存储来自cookie和本地存储的数据.如果您担心的是被存储在用户的计算机数据的安全性,localStorage提供不超过饼干的安全利益.

事实上,它甚至可能是一个更大的风险,因为你可以设置cookie在一段时间后过期,但localStorage不会过期.因此,保存的数据localStorage可能会保留在用户的计算机上的时间比使用cookie时的时间长.

(但是,如果您只需要在单个会话期间存储数据,则可以使用sessionStorage而不是localStorage.)