Co to są "podpisane" pliki cookie w programie connect/expressjs?

Question

Próbuję dowiedzieć się, co właściwie oznacza "podpisane ciasteczka". Nie ma zbyt wiele w internecie, a jeśli próbuję to:

app.use(express.cookieParser('A secret')); 

Ale wciąż ... Cookies są nadal w 100% normalny w przeglądarce, a ja naprawdę nie wiem co „podpisany” jest tutaj (? I był rodzaj nadzieją „zobaczyć” trochę tajemniczości na kliencie, coś danych zaszyfrowanych przy użyciu programu „tajnym” jako sól)

dokumentacja mówi (https://github.com/expressjs/cookie-parser):

Parse Nagłówek i nagłówek pliku cookiereq.cookies z obiektem wykreślonym przez nazwy plików cookie. Opcjonalnie możesz włączyć podpisaną obsługę plików cookie, przekazując ciąg znaków secret, który przypisuje req.secret, więc może być używany przez inne oprogramowanie pośredniczące.

Czy ktoś wie?

Merc.

Answer 1

Plik cookie będzie nadal widoczny, ale ma podpis, dzięki czemu może wykryć, czy klient zmodyfikował plik cookie.

Działa, tworząc HMAC wartości (obecny plik cookie) i kodowany przez base64. Kiedy ciasteczko zostanie odczytane, przelicza podpis i upewnia się, że pasuje do podpisu dołączonego do niego.

Jeśli nie pasuje, oznacza to błąd.

Jeśli chcesz ukryć zawartość pliku cookie, powinieneś go zaszyfrować (lub po prostu zapisać w sesji po stronie serwera). Nie jestem pewien, czy istnieje już tam oprogramowanie pośrednie, czy nie.

Edit

i tworzenia podpisanego pliku cookie należałoby użyć

res.cookie('name', 'value', {signed: true}) 

oraz dostępu podpisane cookies użyć signedCookies przedmiot req:

req.signedCookies['name'] 

Answer 2

yup jak emostar wspomina, że ​​chodzi po prostu o zapewnienie, że wartość nie została naruszona. Jest umieszczony w innym obiekcie (req.signedCookies), aby rozróżnić te dwa elementy, pozwalając programistom na pokazanie intencji. Gdyby były przechowywane w req.cookies wraz z innymi, ktoś mógłby po prostu stworzyć niepodpisany plik cookie o tej samej nazwie, pokonując cały ich cel.

Answer 3

I zostały poszukiwania dość rozległe za dobrą odpowiedź na to ... i patrząc na kodzie źródłowym cookie-signature, który jest używany przez cookie-parser podpisać podpisanych ciasteczka dały mi lepiej zrozumieć, co podpisanego pliku cookie jest.

val to oczywiście wartość cookie i secret jest ciąg dodać jako opcja do cookie-parser

https://github.com/visionmedia/node-cookie-signature/blob/master/index.js#L16