与 Identity Server 4 中浏览器 cookie 中保存的令牌相关的安全问题答案

【问题标题】：Security issue related to token saved in browser cookie in Identity Server 4与 Identity Server 4 中浏览器 cookie 中保存的令牌相关的安全问题
【发布时间】：2021-06-09 20:10:12
【问题描述】：

我使用的是 Identity Server 4 版本 3.1.2。我在同一台计算机上使用 Chrome 中的用户信息和 Firefox 中的另一个用户信息登录。如果我复制保存在 Chrome Cookies 中的第一个用户令牌并将其粘贴到 Firefox Cookies（替换为第二个用户令牌）并刷新 Firefox（按 F5），Firefox 登录用户将更改为 Chrome 用户，这是一个安全问题。我可以做些什么来防止这个问题？

【问题讨论】：

为什么这是一个安全问题？您似乎在描述会话劫持。

标签： security cookies asp.net-identity token identityserver4

【解决方案1】：

您无法确定缓解此问题。您可以检查user agent 标头是否是您所期望的，但随后有人会使用插件伪造用户代理标头，您又回到了原点。所有其他标头都可以以类似的方式绕过。

（尽管如果您决定信任用户代理标头，那么这就是您的解决方案）。

事实证明，检查 IP、套接字、TLS 会话会产生很多问题，根本无法被视为一种解决方案。

【讨论】：