我们知道，发送 HTTP 请求，除了浏览器，还有各种代理。即使设置了httpOnly，这一限制只对浏览器有效，我们同样可以把cookie拿过来更改，利用其他工具发送请求。

cookie 可以被截获、窃取和篡改。 可以使用以下几种方式，保证 cookie 的安全性，都是服务端的操作。 1、使用 https 防止中间人截取 2、启用 HttpOnly 选项 禁止用户通过 JavaScript 操作 cookie 3、添加 secure 4、使用签名 cookie signedCookie 防止篡改 推荐阅读 Cookie安全漫谈

已经把UserId存在localstorage了 这有安全漏洞啊，你调后台接口的时候，带上 cookie 就行了，后台会从 cookie 里取到。 另外，像 SESSION 这种 cookie 字段，一般都有 HttpOnly 属性，代码是获取不到的，如果没有，也是安全漏洞。

为了防止csrf攻击，通常除了在cookie设置token，一般还要在表单上有一个隐藏的token。而这两个一般是由服务器传过来的，那如果这个表单上的token直接用js获取cookie上token作为其值是否安全？

Web 应用常常会面对各种各样的安全问题，因此要把所有问题都解决是很难的。 Flask 尝试为你解决许多安全问题，但是更多的还是只能靠你自己。 这里是flask提供的一些网络安全保障： 跨站脚本攻击（XSS） 跨站脚本攻击是指在一个网站的环境中注入恶任意的 HTML （包括附带的 JavaScript ） 跨站请求伪造（ CSRF ） 保证网...

Cookie——存在于浏览器之中的一种缓存数据，可以被浏览器关闭（在设置里）。如果浏览器关闭了Cookie，Cookie将不可用。现在一般没人关Cookie了。既然Cookie是来源于浏览器，实质上任何人都可以动你的Cookie。安全吗？当然不安全。那这个时候如何做到安全？请使用Session，而且没有例外。

cookie不安全，如果接口携带cookie，那么抓包就可以拿到，拿到cookie的人，就可以随便任意访问接口了

服务器鉴别session需要至少从客户端传来一个session_id，session_id通常存于cookie中，或是url（很少用url，主要涉及安全性和SEO的影响）

我在response内加入一个cookie。并在页面请求返回的response中也存在Set-Cookie，但浏览器并没有将次Cookie加入到本地。在控制台application中也未找到。

可以是COOKIE。也可以是SESSION。 URL传递？通过很少这么做吧。用户禁用COOKIE才可能出现。 其他的HTML5的存储我们目前暂时不考虑 如果要安全要求高：强制使用SSL。其他方式基本都不太安全吧。 无论存Cookie。session.都有风险。

搜索‘token 放header’看到的大都是2017-2018的，以前不是认证信息都放cookie吗？如果因为cookie不安全，cookie可以设置same-site防止CSRF攻击，可以设置httpOnly防止cookie劫持类攻击，如果说用户禁止cookie，不是有那种“本网站需要开启cookie”的提示吗？

主要针对两种情形： 用户将Cookie进行破解 恶意用户劫持Cookie冒充登陆 怎样设置Cookie才能记住用户的登陆状态并相对安全呢？

要区分什么时候用session，什么时候用cookie，你首先要明白两者的区别。然后根据你的需求来决定用什么cookie 和session 的区别：1、cookie数据存放在客户的浏览器上，session数据放在服务器上。2、cookie不是很安全，别人可以分析存放在本地的COOKIE并进行COOKIE欺骗 考虑到安全应当使用session。3、session会在一定时间...

如题，想了解 记住密码怎样设计算是比较好的，包括功能 密码保存后的安全隐患 cookie里面需要保存哪些东西 如何给cookie加密以确保安全 希望可以详解。

cookie加密用的。没有这个加密，一切基于cookie的机制都不安全（比如session），如果不加密，有心人就可以伪造cookie来请求你的接口

你去看下setcookie的文档。setcookie的第三个参数path可以定义cookie生效的目录。 把path设置成/, 就说明cookie可以在域名下公用。

一般来说sessionId有跨域安全问题，而token却没有，我的理解是sessionId怕跨域问题，而token不怕的原因是不是因为前者是基于cookie自动携带而后者是手动携带？当有跨域攻击时，受害者点击链接会自动带上浏览器cookie上的sessionId而token一般是程序员在程序中写ajax时，手动放在参数或者header中的，所以没有跨域安全问...

这个cookie叫cfduid，来自cloudflare这个cdn厂商，很多在线js通过cloudflare的cdn分发，所以会带上他们的这个cookie，这个cookie在官网上有解释：

出于安全考虑，AJAX 不允许设置部分请求头，这其中就包括 Cookie，完整的名单见此：[链接] 你应该通过 document.cookie、或由服务端返回 Set-Cookie 等方式。