Java cookie会话安全性

Question

我正在使用servlets在tomcat 7中创建一个网站。我计划使用cookie来跟踪用户会话。我已经把曲奇放在10分钟内过期了。

我的问题是，黑客是否能够在cookie过期之前从用户那里窃取。黑客是否可以更改cookie的过期日期，并在以后使用cookie窃取用户会话。我只是想看看这是否可能，因为我试图保护我的网站。

Answer 1

如果在10分钟后从服务器存储中删除此cookie (并且您的身份验证逻辑是基于比较cookie从存储和浏览器中的值)，那么就不可能窃取会话。