在 HttpSession 中存储关键数据是否安全？

Question

我将用户数据（例如姓名、密码和电子邮件）存储在您HttpSession的setAttribute.

我想知道将关键数据存储在HttpSession.

Answer 1

尝试将登录信息存储在以下用户存储库之一（登录时检查有效性）：

• 内存中（例如，它可能是一个 xml 文件），
• 基于 JDBC，
• 基于 LDAP。

这不是身份验证选项的完整列表。

您至少应该使用 SSL/HTTPS 进行登录和任何其他敏感数据。

看看这篇文章：http://en.wikipedia.org/wiki/Session_hijacking

这是关于这个问题的一个很好的讨论：防止会话劫持的最佳方法是什么？

这里还提到了一些安全问题：每个程序员应该了解Web开发什么？