看到这种方法有任何安全风险吗？

Question

我正在开发具有以下身份验证样式的 RESTful(ish) API：

• 客户端调用“身份验证”API 方法并通过 HTTPS POST 传递用户名和密码。此方法返回基本帐户信息和一个“客户端令牌”，该令牌存储在数据库中的用户帐户上。

• 所有进一步的 API 调用（全部通过 HTTPS POST）都需要客户端令牌。如果系统无法通过客户端令牌找到请求者，则调用被拒绝。

我的未解决问题是： 1) 有没有人认为这是一个重大的安全问题？ 2）我应该让客户端令牌随着时间的推移过期或更改有什么好的理由吗？现在我为每个用户分配一个随机的。如果用户注销或忘记密码，我会生成一个新的。

我很想知道大家对这种方法的看法。我不追求创新，我只是让我意识到这种方法的风险。

Answer 1

您所描述的内容在功能上等同于会话 cookie，只是在您的应用程序中重新实现，因此存在许多可能已经被大多数 Web 框架处理过的陷阱。

• 确保您的令牌有足够的熵。如果标记是简单的 32 位整数，那么疯狂的猜测可能足以猜到其他人正在使用的标记。
• 如果您是随机生成这些令牌，请确保您使用加密性强的随机数源，否则下一个令牌可能会根据之前的令牌进行猜测。
• 如果这些 POST 请求来自脚本并且嵌入在网页中，则将令牌作为显式参数而不是作为声明的 cookie 传递 secure 和 httponly 会通过跨站点脚本窃取令牌容易得多。