现在还有用 cookies 吗

[pabno]

接手公司的老项目，很多安全和身份相关的功能都是用 cookies 实现的。这玩意儿感觉既不好测试又不安全，以往都是使用 token 来做的身份安全相关

不知道现在在 web 端主流是用 cookies 还是 token ？

[poic]

你不存 token ？

[monsterxx03]

所以你 web 上 token 存哪的?

[lxk11153]

cookies 哪里不安全？

[ChanKc]

我宁愿用 Cookie 。现有的库，包，整个的机制都很完善了，现成方案多，工作量少

[lxk11153]

fix #3 弱弱问下: cookies 哪里不安全？

[imnpc]

session + cookies 里面难道没带安全验证吗？
token 的一般用在前后端分离的多

[beldon]

token 就一定安全了？

[chendy]

cookie 哪里不安全？
cookie 的优点是浏览器自动处理，缺点是只能在浏览器里用，哪里有什么安全问题？

[imdong]

不应该很多都是 session 的方式？

然后 session_id / token 使用 cookies 或者 其他方式 存起来而已。

但是依然有将一些 加密后的数据使用 cookie 存在客户端。

[GM]

因为 cookies 里存 sessionId 不安全，所以我选择了 cookieless 方案，把 sessionId 放在 url 上了，这下安全多了

骄傲的狗脸.jpg

[sunjourney]

你的应用都是单页的？你的 token 放哪？你的图片鉴权是怎么做的？

[sunjourney]

为啥全 token 和 cookie 对比？你喜欢吃苹果还是饼干？

[ChanKc]

@sunjourney 我猜是 custom HTTP header，请求得到的图片的 base64 什么的再用 blob 吧

[sunjourney]

@ChanKc #13 那也是很厉害了，expiration 、cache 啥的自己实现一套？看来题主是个大佬

[reus]

token 就是存 cookie 里的
连这都不知道，都可以做那么多年开发，可见这行门槛之低

[HUALIAN]

阿里京东腾讯都用 cookie，安全得很

[ChanKc]

@sunjourney 是的

[ChanKc]

@sunjourney 手头上有个项目就因为这么一套搞得有个 expiration 的 bug…

[renmu123]

其实 cookie 应该比 token 安全，起码 token 没办法原生实现失效

[sunjourney]

@ChanKc #18 gzip 啥的呢，如果是大图，体验怎么样？