假设我们有一个网站要求用户提供他的姓名。
网站然后将此值存储在 cookie 中，并在下一页上通过 PHP 检索它并以某种方式使用它(也许页面将名称显示为文本)。
用户是否可以修改 cookie 数据以注入(inject)恶意代码？ cookie 数据在被脚本检索时是否应该清理？
(这是一个假设的场景。显然这里不需要 cookie。)
最佳答案
Could a user modify the cookie data to inject malicious code? Should cookies be sanitized as they're retrieved by the script?
注入(inject)恶意代码？不是 PHP 代码，但您应该在使用 cookie 值之前对其进行清理是对的。
用户可以轻松修改、添加和删除 Cookie，应将其视为不受信任的用户输入。它们与任何其他用户输入一样容易受到 XSS 和 SQL 注入(inject)漏洞的攻击。</p>
此外，除非您使用 SSL，否则 cookie 与请求中的 GET 或 POST 数据一样容易被嗅探。恶意互联网服务可以拦截或修改 cookie。另见 Firesheep有关 cookie 如何被滥用和不信任的示例。
关于php - Cookie 是否存在安全风险？，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/8992415/