можно использовать идентификатор пользователя для входа в качестве ключа сеанса?

Question

Я довольно новичок в разработке веб-приложений, я знаю, как Session и Cookie работают, отслеживая действия пользователя, но я столкнулся с вопросом: если идентификатор пользователя идентичен, почемуя использую его в качестве ключа сеанса вместо его генерации после успешного входа в систему?

Answer 1

Это было бы очень плохой идеей, поскольку злонамеренный пользователь мог бы изменить отправляемый ими идентификатор.

Если, например, у администратора есть идентификатор 1, а у пользователя идентификатор 101, этот пользователь может просто изменитьих идентификатор в файле cookie равен 1, и, таким образом, он получает права администратора.

По той же причине вы не захотите отправлять любые другие соответствующие данные в файлах cookie, поскольку вы не можете доверять этим данным (если они не подписаны и, таким образом,не может быть изменено, например, с помощью jwt).

Конечно, вы можете генерировать случайные идентификаторы пользователя. Но даже если мы предположим, что это невозможно, это было бы проблематично. По сути, это было бы так же, как если бы вы отправляли пароль в куки. Если идентификатор пропускается хотя бы один раз, злоумышленник получит постоянный доступ, поскольку он не может быть отмененС другой стороны, идентификаторы сессии истекают через некоторое время или могут быть отменены.