Безопасна ли эта проверка cookie?

Question

В основном у меня есть таблица SQL с 3 значениями, именем пользователя, паролем и файлом cookie.

dog - cat - a8bfc7ec7a2b0ba10977fddd59fc403d

При входе в систему проверяется соответствие имени пользователя и пароля, затемон генерирует случайный хэш md5, вставляет его в базу данных, затем устанавливает его в качестве файла cookie для пользователя.

После использования сайта он проверяет, совпадает ли файл cookie с любым из них в базе данных, чтобы убедиться, что они зарегистрированыв.

Насколько безопасна эта система?

Answer 1

Если я правильно понимаю, вы используете случайный md5 как идентификатор для идентификации клиента между запросами без использования его пароля.Это похоже на файл cookie сеанса и будет иметь аналогичные проблемы безопасности.

Если вы полагаетесь только на этот файл cookie, любой, кто украдет этот файл cookie, украдет учетную запись пользователя.Вы можете расширить проверку, сняв отпечатки пальцев с пользователя, проверив агента пользователя и все, что вряд ли изменится между запросами.Обратите внимание, что IP-адрес может измениться.Вы также можете запросить пароль пользователя перед выполнением важных действий, таких как изменение адреса электронной почты или пароля пользователя.

Обратите внимание, что получить доступ к файлам cookie пользователя не очень сложно, даже расширение браузера может это сделать.