rt.
我的网站自动登录用的是 jwt，其中 AccessToken 放在 Cookies 里。我在想，软件读取了浏览器的 Cookies 数据，那么他是不是就可以浏览用户已登录的所有的网站数据了。
我的网站自动登录用的是 jwt，其中 AccessToken 放在 Cookies 里。我在想，软件读取了浏览器的 Cookies 数据，那么他是不是就可以浏览用户已登录的所有的网站数据了。
This topic created in 2113 days ago, the information mentioned may be changed or developed.
 |
1
如果以已经读取为前提的话应该是的，所以说后端不要相信前端的数据，多验证多更新
|
1 |
ggabcJan 25, 2021 via iPhone
2
是这样，所以以前有人用 ifream 偷 cookie
|
 |
xiaoyang7545Jan 25, 2021
3
@ggabc iframe 能偷 cookie? 不能直接获取被嵌套页面的 cookie 吧。
|
 |
fisher335Jan 25, 2021
4
这个就是这样的，你认证的只需要 cookies，如果能拿到这个值，放到请求里面，就能构造登录结果
|
 |
wanguorui123Jan 25, 2021
5
HttpOnly
|
 |
dingwen07Jan 25, 2021
6
我的网站服务端记录了 Token 的 IP 和 UA，不一致会要求重登
|
Select Language