使用AuthToken架构保护用户帐号验证Cookie的安全性

最新推荐文章于 2025-12-30 14:18:59 发布
原创 最新推荐文章于 2025-12-30 14:18:59 发布 · 1.8k 阅读 · 0 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
文章标签：

#数据库 #浏览器 #token #服务器 #脚本 #照片

博客内容讨论了使用FormsAuthentication的GetAuthCookie可能存在安全隐患，因为黑客可以利用不变的UserID或UserName来冒充用户。作者提出了AuthToken的概念，这是一种每次登录时都会变化的验证Token，以提高安全性。数据库设计包括UserID、AuthToken、SessionID和ExpireTime四个字段，其中UserID和AuthToken构成联合主键。通过SessionID检查AuthToken的有效性和过期时间，确保即使黑客拥有完整的Cookie信息，也无法长期使用已过期的AuthToken进行非法操作，从而增强了账号安全性。

在项目或者网站开发中,我们很多人很多时候喜欢使用微软的FormsAuthentication类的GetAuthCookie函数生成需要在访客客户端放置的帐号校验Cookie,这个本身没问题,但是很多人会被GetAuthCookie的userName参数误导,以为传递UserID或者UserName就很安全了.而实际上,Cookie本身并不安全,如果完整复制了校验Cookie,在Cookie的允许时间范围内,黑客完全可以使用该Cookie代表的帐号做各种危害网站和应用的事情,即使设定了Cookie的过期时间,但是如果完整复制该Cookie信息,由于站点的machineKey基本不会变化,每次基于特定用户的UserID和UserName生成的Cookie实际上一直不变,那么黑客只要保留了该全部Cookie的信息,就可以一直为所欲为,不受用户登录帐号和密码变更限制,比如校内曾经发生过xss脚本注入事件,导致很多用户丢失了日记照片.所以保护帐号校验Cookie很重要.
 
解决方案是避免使用UserID和UserName这种不会变化的字段做为验证Cookie的基础,我建议使用一种我称之为AuthToken的机制,意即验证Token,(token:标志,象征),AuthToken可以随每次用户通过登录页面登录变化,保证用户的顺畅使用,同时又避免无限期使用不变的验证Cookie导致的帐号被盗现象的发生.
 
下面来解释下AuthToken的运作模式,先上数据库设计图,大家看图理解.

 

 

这张表的字段分别是
UserID:用户标识
AuthToken:验证Token
SessionID:客户端SessionID
ExpireTime:绝对过期时间
 
请注意UserID和AuthToken为合并主键,这并不是错误,而是有意的设计,大家听我解释
首先每个客户端的浏览器我们都会获得一个SessionID,这个是肯定有的,而且同一台机器不同浏览器生成的sessionID也是不同的,sessionID的解释大家看维基百科http://en.wikipedia.org/wiki/Session_ID
然后服务器首先基于回话的SessionID检查用户的客户端是否有AuthToken,如果没有,那很好,用户还没有登录;如果有,那么检查ExpireDate是否过期,如果过期,那么用户需要再次登陆.因为是基于SessionID的判断,所以不同客户端和不同的浏览器生成的sessionID都是不同的,同时因为UserID和AuthToken都为主键,所以可以针对同一个帐号分别设置登录过期时间,比如你在网吧上网,使用的是网站默认设置的20分钟过期时间,在家里设置的是2个星期不用登陆,在单位设置的是3天内不用登陆,虽然Cookie是按照你的设置到期自动清除处理的,但是如果黑客保留住了你全部的Cookie信息,在以往的架构里,设置多长时间对黑客都是没用的,但是在AuthToken架构里,Cookie和数据库的记录对应,所以安全性大大增加,即使黑客保留了你全部的Cookie信息,但是因为数据库中记录了特定的AuthToken的过期时间,而且和SessionID对应,就算挠破了头,黑客也是没有办法使用你的帐号的,这个要安全多了.

android密码解锁/指纹解锁返回的authToken深度解剖
baron-周贺贺-代码改变世界ctw
08-07 5026
目录1、authToken是什么2、authToken代码精读(1)、AddAuthenticationToken(2)、FindAuthorization(3)、AddAuthenticationToken 1、authToken是什么 在android中authToken是一串标致调用者身份的数据，是一个结构体. 在gatekeeper和fingerprint的鉴权成功后(verify成功后)，都会返回一个authToken给android，然后加入到auth_token_table表中, 该表最大存储
使用token进行验证登录
m0_53419397的博客
11-01 1651
后台 node 为user设置简单的model： 注册接口 router.post('/register',(req,res)=>{ let Info = req.body User.findOne({username:Info.user}).then((result)=>{ if(result){ return res.status(400).json({msg:'用户已存在'}) }else{
WebApi_AuthToken
08-06
如何基于Microsoft.Owin.Security.OAuth，使用Client Credentials Grant授权方式给客户端发放access token? Client Credentials Grant的授权方式就是只验证客户端（Client），不验证用户（Resource Owner），只要客户端通过验证就发access token。举一个对应的应用场景例子，比如我们想提供一个“获取网站首页最新博文列表”的WebAPI给客户端App调用。由于这个数据与用户无关，所以不涉及用户登录与授权，不需要Resource Owner的参与。但我们不想任何人都可以调用这个WebAPI，所以要对客户端进行验证，而使用OAuth中的 Client Credentials Grant 授权方式可以很好地解决这个问题。
cookie和token的理解
weixin_30894583的博客
03-01 354
cookie和token的理解 注：内容为参考并组织得来，仅作为个人学习笔记 HTTP协议本身是无状态的，所以需要一个标志来对用户身份进行验证 1、cookie 用户登录成功后，会在服务器存一个session，同时发送给客户端一个cookie 数...
微服务商城系统（十） Spring Security Oauth2 + JWT 用户认证
weixin_41750142的博客
04-01 2713
文章目录一、用户认证分析1、认证 与 授权2、单点登录3、第三方账号登录4、第三方认证 一、用户认证分析      上面流程图 描述了用户要操作的各个微服务，用户查看个人信息 需要访问 用户微服务，下单 需要访问 订单微服务，秒杀抢购商品 需要访问 秒杀微服务。每个服务都需要认证用户的身份，身份认证成功后，需要识别用户的角色，然后授权访问对应的功能，比如管理员 和 普通用户的权限对应的功能 是不一样的。      1、认证 与
Spring Boot核心原理与架构设计面试题
最新发布
qq_16500963的博客
12-30 468
系列注解是 Spring Boot 自动配置的 “开关控制” 核心，用于判断自动配置类 / Bean 是否满足生效条件，只有当条件满足时，对应的配置类 / Bean 才会被初始化到容器中。其核心价值是实现 “按需装配”，避免无用组件的初始化，减少资源占用，提升系统灵活性。当 Spring Boot 内置的系列注解无法满足业务需求时（如判断指定服务是否可用、判断数据库是否连接正常），可通过「自定义注解 + 自定义Condition以 “判断配置文件中是否存在指定前缀的属性” 为例：java运行。
Django用户认证揭秘：表单背后的工作原理与优化技巧
!...# 1. Django用户认证系统概述 ...Django认证系统是Django Web框架的重要组成部分，它提供了一套机制来验证用户身份，保障网站安全性，并管理用户会话。认证系统不仅包括传统的用户名和密码方式，也支持多
畅购商城项目 订单+用户认证+微信扫码支付+订单处理
JAVA开发者@邢先生
03-21 1418
第11章 订单 课程内容 完成订单结算页渲染 完成用户下单实现 完成库存变更实现 1 订单结算页 1.1 收件地址分析 用户从购物车页面点击结算，跳转到订单结算页，结算页需要加载用户对应的收件地址，如下图： 1558301821667 表结构分析： CREATE TABLE tb_address ( id int(11) NOT NULL AUTO_INCREMENT, username varchar(50) DEFAULT NULL COMMENT ‘用户名’, provinceid v
Django用户认证系统：构建零漏洞登录注册流程
![Django用户认证系统：构建...在构建Web应用时，用户认证系统是一个不可或缺的部分，它负责验证用户的合法性，保障系统的安全。Django，作为一个功能全面的高级Python Web框架，内置了强大的用户认证系统，提供了一站
【登录】身份认证(用户名密码/accountToken)->用户授权(authToken)->换服务Token(serviceToken)
tuhuolong的专栏
05-30 1万+
auth认证相关 --token 深入了解
热门推荐
洋洋洋洋洋Vc 的博客
11-23 1万+
Token 的简述 token 顾名思义就是一块令牌(临时的令牌)，我们可将它理解为一种暗号，类似于对口号。这个令牌 token 是由服务器生产，一串字符串，然后会一式两份分别有客户端 与 服务器保管。 Token 的作用 token 可以免去从前标记用户登录的方式，不需要繁多的登录操作，请求端只需要携带 token 去访问服务器，服务器会根据 token 认证是否成功进行区别响应。 token...
Autho-Token
xiaojianlaile的博客
10-30 1924
Auth-token1.0： (1)由于http的无状态性,前端服务器需要存储每个用户对用的 session_id， 由于访问量巨大,所以服务器前端通过nginx做了集群,做（反向代理和负载均衡） 由于做了集群,每次请求发送的服务器不固定,所以使用**（沾粘性session）** (2)session-id存储到缓存服务器上去,但是redis可能也会挂了所以redis也需要做集群。 （3）问题：如果不保存sessionid,不做验证就不知道是不是系统内部合法用户,容易被攻击 解决方案：用户登录成功,返还一个
在 composer 下载需要的东西时候 需要auth token 验证 解决方案
落笔半海的博客
10-16 1808
在 composer 下载需要的东西时候 需要auth token 验证 Authentication required (packagist.phpcomposer.com): 需要提示用户名密码 我的第一反应，这东西怎么这么先进了，还要这东西不过莫名其妙的是这个账号密码是啥东西我tm怎么知道啊     有用的回答： 修改镜像源正解，如果不能翻墙的话可以试试这个： composer co...
php token函数,php - 设置auth_token的函数 - 堆栈内存溢出
weixin_35252979的博客
03-24 394
在我的表单中，我有一个隐藏字段：此值也存储在会话和变量中：$_SESSION['auth_token'] = hash('sha256', rand() . time() . $_SERVER['HTTP_USER_AGENT']); # TODO: put this in a function$auth_token = $_SESSION['auth_token'];提交表单后，将比较两个值...
基于Token的WEB后台认证机制
weixin_30845171的博客
06-22 4473
几种常用的认证机制 HTTP Basic Auth HTTP Basic Auth简单点说明就是每次请求API时都提供用户的username和password，简言之，Basic Auth是配合RESTful API 使用的最简单的认证方式，只需提供用户名密码即可，但由于有把用户名密码暴露给第三方客户端的风险，在生产环境下被使用的越来越少。因此，在开发对外开放的RESTful API时，尽量避免采...
JWT以及TokenAuth
m0_47944994的博客
02-14 2962
JWT以及TokenAuth
详解android gatekeeper/fingerprint中的authToken
baron-周贺贺-代码改变世界ctw
08-06 3505
文章目录1、authToken是什么？2、authToken的填充3、authToken的保存 1、authToken是什么？ 在密码或指纹验证通过后(verify通过后)，需返回一个authToken值，然后交由keystore保持起来. 以下是gatekeeper的verify产生authToken和调用keystore保存authToken的流程图: 2、authToken的填充 在gatekeeper TA的verify()通过后，对填充authToken结构体，然后再返回。 (hardware/l
【实战】cookie+token实现网站『持久登录』
小管打天下的博客
09-04 4295
一、基础概念 （1）正确获取复选框数据 javascript <input type="checkbox" name="body[]" value="fb"/> 中括号的作用是告诉后端它是一个数组 （2）语义化 因为HTML不具备语义化所以HTML5出了很多标签 同时举例，input将type值设置为submit/reset也可以实现提交和重置，但是因为不够具备语义化所以将用button来实现表单的提交和重置 （3）合法性 合法性的意思并不是数据长度够不够，而是制定了一套规则，提交的数据是否符
natapp使用authtoken登录
03-26
<think>嗯，用户想知道如何使用authtoken来登录和配置natapp。首先，我需要回忆一下natapp的相关文档。记得用户提到了引用中的内容，特别是引用[2]提到authtoken是隧道的登录凭证，运行natapp时需要用到它。还有引用[4]提到可以通过命令行参数或者配置文件来设置authtoken。 首先，用户需要注册natapp账号并获取authtoken。根据引用[3]和引用[5]，注册后需要购买或获取免费隧道，这样就能得到authtoken。然后，用户需要下载natapp客户端，这可能是在Linux或Windows系统上，但用户给出的示例代码是Linux的，所以可能需要考虑不同系统的步骤。 接下来，配置authtoken有两种方法：命令行直接运行或者使用配置文件。命令行方式比较简单，直接输入natapp -authtoken=你的token，如引用[2]中的例子。而配置文件方式，用户需要创建一个config.ini文件，放在natapp同级目录下，并在里面写入authtoken信息，如引用[4]所述。这里要注意的是，如果同时使用命令行和配置文件，命令行的参数会覆盖配置文件中的设置。 然后，用户可能需要启动natapp，这时候会根据配置穿透内网，生成公网访问地址。测试运行时需要确保本地项目已经启动，并且端口和隧道配置一致，比如引用[3]提到的建立一个web项目，运行在本地8080端口，然后natapp映射到公网地址。 可能用户会遇到的问题包括权限问题，比如在Linux下需要chmod +x natapp来赋予执行权限，如引用[1]所述。另外，配置文件的位置和格式是否正确也很重要，避免语法错误。 还需要提醒用户注意authtoken的保密性，不要泄露，否则别人可能滥用。另外，免费隧道可能有带宽或连接数的限制，如果需求高可能需要升级套餐。 最后，生成相关问题时要覆盖常见的使用场景、配置优化、错误处理等，比如如何验证配置正确、如何查看日志、如何处理代理问题等。</think>### Natapp通过authtoken登录的配置教程 以下是基于官方文档整理的配置步骤[^3][^4]： #### 一、获取authtoken 1. **注册并登录**Natapp账号（https://natapp.cn） 2. 进入**隧道管理**，创建或选择已有隧道 3. 在隧道详情页复制**authtoken**值（格式如：`9ab6b9040a624f40`）[^2] #### 二、配置authtoken（两种方式） **方式1：命令行直接运行** ```bash # Linux示例（需先赋予执行权限[^1]） chmod a+x natapp ./natapp -authtoken=你的authtoken ``` **方式2：配置文件启动** 1. 创建`config.ini`文件，内容如下： ```ini [default] authtoken=你的authtoken # 粘贴实际值 loglevel=INFO # 日志级别 log=stdout # 输出到控制台 ``` 2. 将文件与`natapp`客户端放于同一目录 3. 直接运行客户端： ```bash ./natapp ``` #### 三、启动与验证 1. 运行后控制台会显示**公网访问地址**（如：`http://xxx.natappvip.cc`） 2. **本地服务需同步启动**（如本地Web项目运行在`127.0.0.1:8080`） 3. 通过公网地址访问验证穿透是否成功 > ⚠️ 注意：若同时使用命令行参数和配置文件，命令行参数优先级更高
评论 1
成就一亿技术人!
拼手气红包6.0元
还能输入1000个字符
 
红包 添加红包
表情包 插入表情
表情包 代码片
 条评论被折叠 查看
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值