node.js - Connect session 中间件签名 cookie 如何工作？

Question

我想了解 connect.sid cookie 在 Connect Node.js 框架中的工作原理。我注意到它们的格式如下，

s:hash.signature

我不明白当哈希不仅能够用于从内存存储或 redis 存储访问 session 数据时如何使用签名。

此外，我不明白为什么 s: 甚至在 cookie 中；它的目的是什么。

我听说签名用于“签署”散列。 “签名”或“签名”到底是什么意思？我也需要有关此过程的解释。

谢谢!

Answer 1

签名在那里，因此服务器可以验证它生成了 cookie，而不是一些随机的攻击者。

只有知道用于签名的 secret 的人才能使用相同的值进行签名。

“s:”在那里，所以很容易知道它是一个签名的 cookie，而不是其他格式(如未签名)。

这是一种从已签名的 cookie 中检索数据的方法，如果签名不正确则失败。仅从实际应用程序中提取了部分代码，但您应该明白这一点。

var cookie = require('cookie');
var connect = require('connect');
var secret = "same secret used to sign cookies";

socketio.set('authorization', function(data, cb) {
  if (data.headers.cookie) {
    var sessionCookie = cookie.parse(data.headers.cookie);
    var sessionID = connect.utils.parseSignedCookie(sessionCookie['connect.sid'], secret);
    // do something here with decoded value
  }
});

您需要使用 socket.io 中的“授权”功能才能访问 header 。该代码在使用 xhr-polling 传输时有效，我不确定这是否适用于 websocket。