会话 cookie 的安全性

Question

我做了一个这样的快速会话：

app.use(session({
    name: "Session_name",
    secret: "Some secret",
    saveUninitialized: false
}));

我只想知道如果会话名称在网络中显示为这样（in Inspect）是否被认为是安全的：

Screenshot

如果不安全，我该怎么做才能不显示会话名称？

Answer 1

用户可以轻松修改 Cookie。因此，您应该将 cookie 视为任何其他用户输入。 cookie 名称可以是公开的。秘密应该是对用户和会话唯一且无法猜测的哈希值。

为了阻止脚本小子，您可以更改每个请求的 cookie 名称。但这并没有真正增加任何东西，只要秘密仍然是秘密。