网络安全：身份验证 Cookie、Session、Token解析

背景

现代化的网站已经不再是简单的静态网站了，会包含很多动态的内容，例如推荐、用户的信息查询、购物车等功能，因此后端服务器需要得到每个请求的身份及状态信息。然而HTTP协议是无状态的协议，每个请求之间是独立的，为了在请求的过程中进行状态保存，避免每次都进行登录校验，因此需要在客户端或浏览器保存用户的身份及状态信息，并在请求中发送，以实现有状态的服务。

技术

Cookie

cookie是在用户计算机中保存数据的技术，通常是浏览器在使用。cookie的常见应用是记录用户的身份和状态信息，最常用于身份验证。
Cookie的使用通常有会话管理、个性化、网站追踪等。对于用户打开网站，网站向客户端发送包含唯一会话标识符的cookie，当用户登录时，服务器会记住该会话标识符已通过身份验证，并授予用户对其服务的访问权限。而即使用户不登录网站，在用户后续的访问中，网站仍然可以记录该cookie及其与用户访问的联系，以实现对用户的分析和个性化等功能。
Cookie的安全性问题通常取决于2个因素：

1. 网站和用户的Web浏览器安全性；
2. Cookie数据是否已加密。

以下是Cookie存在的风险：

1. 网络监听
   网站浏览可以被发送方和接收方以外的网络上的计算机截取，如果此浏览是未加密的，攻击者即可读取Cookie以及对话的全部内容，并利用Cookie执行恶意操作。

2. 虚假子域：DNS缓存中毒
   如果攻击者攻击了DNS服务器缓存的DNS条目，这可能使得攻击者能够访问用户的Cookie