Was sind "signierte" Cookies in connect/expressjs?

Question

Ich versuche herauszufinden, was "signierte Cookies" eigentlich sind. Es gibt im Netz nicht viel, und wenn ich versuche, dies:

app.use(express.cookieParser('A secret')); 

Aber trotzdem ... Cookies sind auf dem Browser noch 100% normal, und ich weiß nicht wirklich, was „signiert“ ist hier (? ich irgendwie hatte gehofft, etwas Verrücktheit auf dem Client zu „sehen“, so etwas wie die verschlüsselten Daten „Ein Geheimnis“ als Salz verwendet wird)

die Dokumentation sagt (https://github.com/expressjs/cookie-parser):

Parse Cookie Header und bevölkern req.cookies mit einem Objekt, das durch die Cookie-Namen verschlüsselt wird. Optional können Sie signierte Cookie-Unterstützung aktivieren, indem Sie eine secret Zeichenfolge übergeben, die req.secret so es von anderen Middleware verwendet werden kann.

Weiß jemand?

Merc.

Answer 1

Der Cookie ist weiterhin sichtbar, aber er hat eine Signatur, sodass er erkennen kann, ob der Client den Cookie geändert hat.

Es funktioniert durch Erstellen eines HMAC des Werts (aktuelle Cookie), und Base64 codiert es. Wenn der Cookie gelesen wird, berechnet er die Signatur neu und stellt sicher, dass sie mit der an sie angehängten Signatur übereinstimmt.

Wenn es nicht übereinstimmt, wird ein Fehler ausgegeben.

Wenn Sie den Inhalt des Cookies ebenfalls ausblenden möchten, sollten Sie ihn stattdessen verschlüsseln (oder ihn nur in der serverseitigen Sitzung speichern). Ich bin mir nicht sicher, ob es dafür bereits eine Middleware gibt oder nicht.

bearbeiten

Und ein signiertes Cookie erstellen Sie

res.cookie('name', 'value', {signed: true}) 

Und für den Zugriff auf ein signiertes Cookie verwenden, um die signedCookies Objekt von req verwenden würde:

req.signedCookies['name'] 

Answer 2

Yup wie emostar erwähnt, es ist einfach sicherzustellen, dass ein Wert nicht manipuliert wurde. Es wird in ein anderes Objekt (req.signedCookies) platziert, um zwischen den beiden zu unterscheiden, sodass der Entwickler seine Absicht zeigen kann. Wenn sie zusammen mit den anderen in Keksen aufbewahrt würden, könnte jemand einfach einen unsignierten Keks mit dem gleichen Namen herstellen und den ganzen Zweck von ihnen besiegen.

Answer 3

Ich habe ziemlich umfangreich für eine gute Antwort auf diese Frage suchen ... und Blick auf den Quellcode cookie-signature, dass durch cookie-parser verwendet wird, um die signierten Cookies zu unterschreiben haben mir ein besseres Verständnis von dem, was ein unterzeichnetes-Cookie ist.

val natürlich ist der Wert des Cookies und secret ist die Zeichenfolge, die Sie als Option in den cookie-parser

https://github.com/visionmedia/node-cookie-signature/blob/master/index.js#L16