Laravel/Fortify会话login_web_后十六进制含义及Golang授权校验疑问

问题 #

我用Laravel/Fortify开发应用，采用web/session/memcached做身份防护，现在要添加一个Golang实现的WebSocket服务器并完成用户授权。我了解到可以利用Laravel保存的加密Cookie，打算通过环境变量APP_KEY在Golang模块中解密这些Cookie。

前端传递的Cookie结构示例：

{
  "cookies": {
    "parameters": {
      "XSRF-TOKEN": "<xsrf_token>",
      "<app_name>_session": "<session>"
    }
  }
}

Memcached中存储的会话记录示例：

[
    "key" => "<cache_prefix>:<session>",
    "value" => "a:5:{\n        s:6:\"_token\";s:40:\"<xsrf_token>\";\n        s:6:\"_flash\";a:2:{s:3:\"old\";a:0:{}s:3:\"new\";a:0:{}}\n        s:9:\"_previous\";a:1:{s:3:\"url\";s:16:\"http://localhost\";}\n        s:3:\"url\";a:0:{}\n        s:50:\"login_web_[0-9a-f]\";i:<user_id>;\n    }"
]

我的计划是在Golang中解密Cookie，读取Memcached里的会话记录，校验xsrf_token后通过login_web_<[0-9a-f]+>键获取用户ID。现在有两个疑问：

1. login_web_后面的十六进制数代表什么？
2. 为保证授权的正确性与安全性，是否需要对该部分进行校验？

回答 #

1. login_web_后的十六进制数含义 #

这个十六进制字符串是Laravel Fortify为web认证守卫生成的唯一哈希标识。它是通过对config/auth.php中guards.web配置的driver和provider进行哈希运算得到的，作用是区分不同的认证守卫（比如web、api），确保会话中的登录状态和指定守卫绑定，避免不同守卫的认证数据混淆。

2. 是否需要校验该部分？ #

必须校验，原因如下：

• 保障授权正确性：确保你获取的是web守卫下的有效登录状态，不会误读取其他守卫（比如api）的登录记录，保证拿到的用户ID是当前web会话对应的合法用户。
• 提升授权安全性：防止攻击者构造恶意的会话键名，尝试匹配其他守卫的登录记录或伪造键名绕过身份验证逻辑，避免未授权访问。

具体校验方法 #

1. 在Laravel项目中生成web守卫的哈希值：
   运行php artisan tinker，执行以下代码获取哈希值：

   hash('sha256', config('auth.guards.web.driver') . config('auth.guards.web.provider'))
   

2. 在Golang的授权逻辑中，将会话里的键名login_web_后缀部分，和预先生成的哈希值做严格的字符串比对，只有完全匹配时，才读取对应的用户ID。

内容的提问来源于stack exchange，提问作者adic threex