我看到许多网站将 cookie 数据存储为乱码，例如：名为 aASFaewqWDRE@fr 的 cookie 具有同样不可读的值。我一直保持我的 cookie 可读，但从不将关键数据保存在其中。例如，我会创建一个名为 favorite_items 的 cookie，其中包含类似 14,73,7 的字符串，每个数字都是对产品之类的引用。
如果我的 cookie 被盗，攻击者会立即知道该用户的收藏夹中有 14、73 和 7 项。据我所知，这不会以任何方式损害用户帐户（假设我的网站构建良好，并且仅凭此信息无法访问帐户）。
这种做法是否还有其他我没有想到的安全问题？
【问题讨论】：
标签： security cookies user-accounts
我怎么知道这个问题真的来自合法用户 Brian？我怎么知道不是有人想绊倒别人？对您的数据进行编码（“乱码”）符合安全性的普遍利益（无论出于何种原因）——这很简单，因为您不知道谁或什么在监视您的数据。考虑在亚马逊或主要零售商的帐户，其中客户的信用卡信息存档。如果数据被监控，潜在的黑客/恶意程序很容易提取他需要的信息。他可以直接获取信用卡详细信息，也可以只获取他们的用户名/密码组合。现在，当这涉及到银行时，它变得极为重要。
但即使在金融交易之外，最好对您的详细信息进行加密，以防止您收到垃圾邮件或防止非法使用您的帐户 - 想象一下您的老板收到一封电子邮件，其中包含他可能不喜欢的内容。名单是无穷无尽的。最重要的是，那里有很多搞砸的人，如果您可以做一些事情来获得额外的保护而无需太多额外费用，那为什么不呢？
【讨论】：
在 cookie 中存储纯文本数据有什么危险？
“危险”显而易见。用户（可能还有其他人！）可以阅读信息，并可能“摆弄”它。
是否重要取决于信息是什么、您如何处理 cookie 以及您担心什么。比如……
如果您将 cookie 内容用于用户可能认为敏感的信息，那么通过 HTTP 连接传递“清除”cookie 会使它容易受到可以窥探数据包的坏人的攻击。 （实际上，鉴于 HTTPS“并不像我们想象的那么安全”......这可能适用于所有领域！）
如果您使用 cookie 来跟踪用户……或者其他用户可能不喜欢您做的事情……好吧，算了吧！
但说真的，您的问题强烈表明您需要了解更多关于如何解决网站/网络工具实施中的安全和隐私问题。
首先，简单地“乱码”信息是不够的。任何轻量级的“乱码”方案都可以很容易地被逆向工程。如果您关心安全/隐私，则应使用具有正确处理密钥的强加密对信息进行加密……或者首先不存储在 cookie 中。 （阅读在服务器端存储会话相关信息的方案。）
【讨论】：