提升cookie的安全性的几个建议

1、对保存到cookie里面的敏感信息必须加密

 

2、设置HttpOnly为true

一、该属性值的做用就是防止Cookie值被页面脚本读取。

二、可是设置HttpOnly属性，HttpOnly属性只是增长了攻击者的难度，Cookie盗窃的威胁并无完全消除，由于cookie仍是有可能传递的过程当中被监听捕获后信息泄漏。

 

3、设置Secure为true

一、给Cookie设置该属性时，只有在https协议下访问的时候，浏览器才会发送该Cookie。

二、把cookie设置为secure，只保证cookie与WEB服务器之间的数据传输过程加密，而保存在本地的cookie文件并不加密。若是想让本地cookie也加密，得本身加密数据。

 

4、给Cookie设置有效期

一、若是不设置有效期，万一用户获取到用户的Cookie后，就能够一直使用用户身份登陆。

二、在设置Cookie认证的时候，须要加入两个时间，一个是“即便一直在活动，也要失效”的时间，一个是“长时间不活动的失效时间”，并在Web应用中，首先判断两个时间是否已超时，再执行其余操做。

参考资料： 提升cookie的安全性的几个建议   http://www.studyofnet.com/news/1093.html