V2EX = way to explore V2EX 是一个关于分享和探索的地方
Sign Up Now For Existing Member Sign In
This topic created in 2881 days ago, the information mentioned may be changed or developed.
是的，就是说的 XSS 攻击，假设 XSS 目的是偷目标用户的 cookies，那么有没有什么方法可以让用户的 cookies 即使被人偷了也没法被冒用？
有没有相关的解决方案？
有没有相关的解决方案？
 | 1  1 httponly 不就完了，js 偷不到 |
 | 3 KomeijiSatori Jun 9, 2018 httponly |
 | 5 letitbesqzr Jun 9, 2018 6 首先肯定是 httponly 防止 js 偷走 cookie，上 https 防网络层面偷走 cookie。如果是特别敏感的场景应该验证 cookie 产生的 ip 和当前 ip 是否一样，或者 useragent，如果不一样的话 要求一次二次验证，或者直接重新登陆。 |
 | 6 Livid MOD PRO 2 把 IP 和时间值也作为 cookie 的一部分。 |
 | 7 13m OP |
 | 9 gDD Jun 9, 2018 via iPhone 抱歉我审题不仔细了，以为是无脑问的。把时间值作为 Cookie 的生成要素之一好想不太可行，如果要定期让 Cookie 失效，那正常用户的体验也会有所影响。 |
 | 13 lucasmi2002 Jun 9, 2018 via Android 两阶段认证 |
 | 14 crab Jun 9, 2018 不考虑 IP 重复，加个 IP 校验就可以了，起码这个模拟不来。 但建议还是 httponly 从上层防止。 |
 | 16 xuboying Jun 9, 2018 via Android 基站不负责 ip 分配，一般不变。切到 wifi 倒是可能变化 ip。如果是运营商 wifi 可能不变。 |
 | 17 Foolt Jun 9, 2018 如果被 XSS 攻击了，做不到 Cookie 被偷了也没办法冒用，除非你验证 IP。 被 XSS 攻击并拿到 Cookie 说明包括 UA 在内的客户端信息完全被掌握了，这些都可以在构造 HTTP 请求的时候自定义，你服务器是验证不了真假的。 |
 | 18 iyangyuan Jun 10, 2018 via iPhone 我也在思考这个问题 |
Select Language