基于会话的身份验证：Web应用会话需存储哪些数据？

绝对不要在会话中存储的内容 #

首先明确：绝对不能存储用户密码（包括明文或哈希后的密码）。

• 密码属于极高敏感信息，即便数据库里的密码是哈希后的，把它放进会话也完全没必要，还会增加泄露风险——一旦会话数据被窃取（比如服务器漏洞、中间件泄露），攻击者可以直接拿到哈希值去破解，甚至如果是明文密码就直接沦陷。
• 密码的唯一作用是登录验证，验证通过后就应该彻底脱离会话流程。

会话中应该存储的核心数据 #

最基础且必须存的是用户唯一标识（比如用户ID）：

• 这个ID是后续所有请求的身份锚点，服务器可以通过它从数据库中拉取用户的详细信息、权限配置等。
• 它体积小、无敏感信息，即便会话ID泄露，攻击者最多只能冒充用户身份，但拿不到其他敏感数据（只要你没在会话里存额外敏感信息）。

可选的辅助存储数据 #

如果想优化性能、减少数据库查询次数，可以选择性存储少量高频使用的非敏感数据：

• 权限标识：比如is_admin布尔值、权限组ID，这样每次请求判断权限时不用查数据库，但要注意如果用户权限变更，需要及时更新会话数据，或者设置较短的会话过期时间来自动同步。
• 基础展示信息：比如用户名、头像URL这类前端页面高频展示的内容，避免每次渲染都查数据库。
• 注意：这类数据必须是非敏感的，且不能包含任何可用于伪造身份或窃取隐私的信息。

额外的安全注意事项 #

• 会话ID本身要足够随机、长度足够（建议128位以上），防止被暴力猜测。
• 服务器端存储的会话数据要加密，比如用Redis存储时开启加密，避免数据泄露。
• 设置合理的会话过期策略：用户活跃时自动刷新会话有效期，闲置超过一定时间（比如30分钟）自动过期。
• 客户端只存储会话ID（存在HttpOnly、Secure的Cookie里），不要把任何会话数据存在前端本地存储（LocalStorage/SessionStorage）里，防止XSS攻击窃取。

内容的提问来源于stack exchange，提问作者Impossible cell 754863921