connect/expressjsで「署名された」クッキーとは何ですか？

Question

私は実際に「署名されたクッキー」が何であるか把握しようとしています。 はネット上であまりありません、と私はしようとした場合、この：

app.use(express.cookieParser('A secret')); 

しかし、まだ...クッキーはまだブラウザ上で100％正常である、と私は本当に「署名」かわからないですここに（？私は一種のクライアント上でいくつかのすごみを「見る」ことを期待していた、塩としての「秘密」を使用して暗号化されたデータのようなもの）は

ドキュメントは（https://github.com/expressjs/cookie-parserを）言う：

解析Cookieヘッダーと入力してreq.cookies は、オブジェクトがクッキー名でキー付けされています。任意で secret文字列を渡すことで、署名付きのCookieサポートを有効にすることができます。req.secretを割り当てます。 他のミドルウェアで使用される可能性があります。

誰でも知っていますか？

メル。

Answer 1

クッキーは引き続き表示されますが、署名があるため、クライアントがクッキーを変更したかどうかを検出できます。

値（現在のクッキー）のHMACを作成することで動作し、base64でエンコードされます。 Cookieが読み込まれると、署名が再計算され、添付されている署名と一致するかどうかが確認されます。

一致しない場合は、エラーが発生します。

クッキーの内容も非表示にしたい場合は、代わりに暗号化するか、サーバー側のセッションに保存するだけです。既にそこにあるミドルウェアがあるかどうかはわかりません。

編集

そして、あなたは

res.cookie('name', 'value', {signed: true}) 

を使用するとreqのsignedCookiesオブジェクトを使用署名クッキーにアクセスするために署名したクッキーを作成するには：emostarよう

req.signedCookies['name'] 

Answer 2

うんを値が改ざんされていないことを保証することだけを言及しています。これは、異なるオブジェクト（req.signedCookies）に配置されて2つを区別し、開発者がインテントを表示できるようにします。 req.cookiesに他の人たちと一緒に保存されていれば、同じ名前の署名のないクッキーを作るだけで、その目的をすべて破ることができます。 、それが署名したクッキーに署名するcookie-parserで使用され

Answer 3

私はこの... に良い答えのためにかなり大規模な検索やcookie-signatureのソースコードを見てきたが、私に何を締結したクッキーの理解を与えましたです。

val

はもちろん、クッキーの値であり、 secretはあなたが cookie-parser

https://github.com/visionmedia/node-cookie-signature/blob/master/index.js#L16