資格データをセッション状態で短時間保存するのは安全ですか？

Question

状況によっては、ユーザーのパスワードをセッション状態で短期間保存する必要がありました。 セッション状態で重要なデータを保持するのは危険ですか？

Answer 1

ユーザーの暗号化されていないパスワードを保存しないでください（セッション状態ではなく、DBにも保存されません）。塩漬けのハッシュをとり、プレーンテキストのパスワードをすぐに忘れてしまいます。必要に応じて、セッション状態でハッシュを保持することができます。

Answer 2

サーバー（ファーム）はどの程度安全ですか？

これは理想的ではありませんが、それほど危険ではありません。

あなたは誰を避けたいのか考える必要があります。

Answer 3

ほとんどの言語は、MD5またはSHA-1をサポートしています。それらの1つを使用してください。

Answer 4

より良い方法は、セッションでハッシュを保持することです。それ以外の場合は、独自の暗号化セッションキーを生成してSessionに格納することができます。あなたはクッキーにもそれを保持することができます。

Answer 5

MD5を生成し、セッション中に保持します。それは安全な方法です。またはShiromiに記載されているように、独自のセッションキーを生成することができます。これをセッションに残してください。