Flask会话,cookie存储在哪里？

Question

我正在学习烧瓶,想要了解会议如何运作.显然,服务器在客户端浏览器上存储已签名的cookie.我已经完成了这个过程

sessions['mycookie'] = 'mycookievalue'

但是我无法在浏览器上找到cookie.我通常使用chrome开发人员工具在浏览器上列出cookie并运行命令:

document.cookie

这在我设置cookie时有效,但是当我通过会话设置它时什么都没有出现.

Answer 1

我在 3 年零 8 个月后发现了这个问题，因为我对它被修改或欺骗的事件感兴趣，以确保我的后端能够区分差异。

使用 Chrome，使用 F12，选择“应用程序”选项卡，在“存储”下方转到“Cookie”。在 cookie 下，您将找到该网页，选择它，右侧将填充，假设您已执行某些操作来创建会话 cookie，它就会在那里。您会注意到该值已加密。

显示会话 cookie 位置的图片

Answer 2

Flask会话cookie具有httponly标志集,使其在JavaScript中不可见.

它是一个普通的常规cookie,因此它仍然存储在浏览器cookie存储区中; 你仍然可以在浏览器的开发者工具中看到它.

如果您希望能够从JavaScript代码访问cookie值,可以将SESSION_COOKIE_HTTPONLY选项设置为False.从" 内置配置值"部分:

SESSION_COOKIE_HTTPONLY
控制是否应使用httponly标志设置cookie.默认为True.

Cookie包含所有会话数据,使用JSON序列化(带有对更广泛Python类型的标记支持),以及加密签名,确保数据不会被安全地篡改.

如果禁用httponly保护,任何JS代码仍然可以解码并读取所有会话数据.即使它无法改变这些值,恶意代码仍然可能非常有趣.想象一下,您的网站中的XSS错误会变得更糟,因为JS代码只能读取用于直接从会话保护Web表单的CSRF令牌.