会话 ID cookie 应该签名吗？

Question

我正在使用 Node 库https://github.com/expressjs/session并注意到它需要指定一个秘密来签署会话 ID cookie。

如果只是会话 ID 被存储在 cookie 中，而不是任何数据，那么对 cookie 进行签名有什么用？

我的推理是，如果有人想要修改会话 ID cookie，那么如果会话 ID 足够长以防止暴力攻击，那很好。我错过了什么吗？

Answer 1

如果您只存储会话 ID，则没有理由对其进行加密。你是对的。如果您在 cookie 中存储一些会话数据，而不仅仅是 id，则需要加密。这将防止用户更改会话数据。