URL 中的 flask-SocketIO sessionId 不安全

Question

我想使用 flask-Socketio。但是问题是sessionId(sid)是在URL中传输的。这意味着任何嗅探都可以窃取 sessionId。 flask 如何将 sessionId 发送回 Post？

在此先感谢您的帮助！

Answer 1

您的生产服务器应使用 SSL，这样任何人都无法看到交换的请求和响应的内容。

URL 中的会话 ID 是 Socket.IO 协议的一部分，而不是 Flask-SocketIO 包的选择。准确地说，服务器在 JSON 响应中发送会话 ID，然后客户端将其添加到后续请求中的 URL。这就是协议的工作原理。

如果未加密，JSON 响应中包含的数据也可以被中介获取，这不是 URL 特有的问题。解决方案是使用加密。