单点登陆cookie安全详解

 COOKIE在登陆服务中用来保存用户凭证，在登陆代理中用来保存SESSION。
      假设用户A是正常用户，通过登陆服务进行了登陆，用户凭证被COOKIE记录下来，假设这时黑客B截获了A的用户凭证，那么当B连接到登陆服务验证时，B可以把截获的用户凭证附加到COOKIE中，因为登陆服务通过COOKIE来判断登陆状态，所以登陆服务会认为B以前登陆过，并且告诉登陆代理B的用户凭证，这样B就欺骗了登陆服务而拥有了用户A的操作权限。
      首先应该避免用户凭证的COOKIE泄露，在用户端，因为内存COOKIE比文件COOKIE更难被截取，特别是经过特殊处理的浏览器，要截取内存COOKIE几乎不可能，而且当浏览器关闭时，内存COOKIE失效，所以应该使用内存COOKIE而非文件COOKIE，这也是很多使用文件COOKIE的论坛帐号经常被盗的原因。