クッキーのなりすましを防止する

Question

私は暗号化したJWTを持っており、HttpOnlyの安全なクッキー&をSSL経由で送信したいと考えています。しかし、自分のサイトが初めて訪問したときにクッキーを設定していないので、クッキーを作成する前に誰かが同じ名前のクッキーを作成しないようにするにはどうすればいいですか？&基本的に、ログイン前にCookieを偽装すると、実際にCookieを作成するとどうなりますか？

Httponlyはこれを止めるものなので、私のクッキーを作成するまでは、いつも私のクッキーが何らかの形でこれを防ぐようにしなければならないようです。このシナリオを回避/回避するために欠けているものはありますか？

Answer 1

誰かがJWTを偽装することができた場合、これはトークンに署名するために使用された秘密が侵害されたことを意味します。これを回避して秘密を変更する解決策はありません。

そうでない場合、確認できないデータを持つCookieが存在する場合、Cookieを拒否（削除）し、要求を処理しません（たとえば、401ステータスを返します）。