玩吗!框架有任何内置机制来防止会话劫持？

Question

我已经读过play框架通过使用应用程序密钥散列会话id来解决会话固定问题,但它是否提供了防止会话劫持的任何机制,还是由实现者来做？

Answer 1

play 文档中有一个关于安全性的很好的部分，因此这里有一个链接 - http://www.playframework.org/documentation/1.2.4/security ，而不是重复。

它涵盖

• 跨站脚本攻击
• SQL注入
• 会话安全
• 跨站请求伪造

有些你必须自己实现，有些则不需要。

您关于会话劫持的具体问题是自动的。

会话是键/值的哈希值，已签名但未加密。这意味着只要您的秘密是安全的，第三方就不可能伪造会话。