关于cookie安全性的问题

Question

请问各位大牛，cookie的不安全性是否是由于会在客户端服务器之间传递有被截获的可能，而不是说本地存储方式存在什么问题？另外有没有大牛愿意讲下cookie相比webStorage的独特优势，或者其他独到认识？

Answer 1

Cookie的不安全性：
客户端服务器之间传递有被截获的可能（Http是明文传输的，设置个钓鱼WIFI，钓鱼VPN不要太简单）
本地存储方式存在什么问题（IE在本地是存的文本txt文件，随便用程序读取写入修改不要太简单）
cookie相比webStorage的独特优势（兼容性，更重要的是cookie里的是会发送给后端的啊）

当然上面都是扯淡：
使用Https，标注HttpOnly，设定有效期（后端检验），Cookie是很基础、成熟、安全的东西了。

Answer 2

cookie 可以被截获、窃取和篡改。

可以使用以下几种方式，保证 cookie 的安全性，都是服务端的操作。

1、使用 https 防止中间人截取

2、启用 HttpOnly 选项 禁止用户通过 JavaScript 操作 cookie

3、添加 secure

4、使用签名 cookie signedCookie 防止篡改

推荐阅读 Cookie安全漫谈

Answer 3

1、cookie有长度限制。XXXStorage存储量大

2、cookie可设置httponly，防止js操作。XXXStorage不可避免，易遭受XSS

3、cookie后端可直接获取。XXXStorage要前端操作

4、cookie易清除。XXXStorage不易，比如Android机清除LocalStorage很费劲

5、cookie易被劫持，CSRF重放攻击