セッション全体にユーザー全体を置くことは安全ですか？node/expressのユーザーIDと同じですか？

Question

私はノード/エクスプレスを使用していて、ユーザーオブジェクト全体をIdではなくセッションに入れることが安全かどうか疑問に思っていました。私がちょうどIdをすれば、これは私がcurrentUserを得るために行くときに別のDB呼出しをしなければならないことを意味する。

私は人々がそれをやっているのを見ましたが、ただIDを置くだけで安全ならば、私はそのことをやります。セッションやその他の機密データに添付する前に、ユーザーからパスワードを削除するようにしておく必要があります。

Answer 1

特に危険なことは何もありませんが、一般的には良い方法ではありません。ユーザーデータを更新するときは、セッションとデータベースを更新する必要があります。そのため、これらのデータを同期させておく必要があります。

セッションストアにも注意してください。セッション内のデータが増えるほど、セッションストアのストレージ要件は大きくなりますが、問題はありませんが、考慮する必要があります。