Sails.js会话Cookie签名生成方式未知，如何验证其有效性？

Sails.js的会话Cookie签名并非直接使用标准HMAC命令行工具生成，其底层依赖cookie-signature库，遵循特定编码规则，这也是你用OpenSSL命令无法匹配签名的原因。

核心逻辑说明 #

• 签名生成：使用cookie-signature的sign方法，对SESSION_ID进行HMAC-SHA256哈希，再将哈希结果转为base64url编码（替换+为-、/为_，去除末尾=），最终拼接成SESSION_ID.SIGNATURE格式。
• 验证本质：需还原上述步骤，对比生成的签名与Cookie中的签名是否一致。

验证实现方案 #

方案1：Node.js环境（推荐）

直接使用cookie-signature库完成验证，代码示例：

const signature = require('cookie-signature');
const sailsSecret = '你的Sails.js会话密钥';
const cookieFromClient = '客户端传来的SESSION_ID.SIGNATURE';

// 验证签名
const validSessionId = signature.unsign(cookieFromClient, sailsSecret);
if (validSessionId) {
  // 签名有效，validSessionId即为原始SESSION_ID
} else {
  // 签名无效
}

方案2：非Node.js环境（手动实现）

若Foo服务非Node.js，需手动模拟cookie-signature的逻辑：

1. 提取Cookie中的SESSION_ID和SIGNATURE（按.拆分）
2. 用Sails.js密钥对SESSION_ID计算HMAC-SHA256哈希
3. 将哈希结果转为标准Base64
4. 对Base64字符串做转换：
   • 替换所有+为-
   • 替换所有/为_
   • 去除末尾所有=字符
5. 将转换后的字符串与Cookie中的SIGNATURE对比，一致则签名有效

为什么OpenSSL命令不匹配？ #

你使用的openssl dgst -sha256 -hmac命令输出的是十六进制格式的哈希结果，而Sails.js的签名是base64url编码的结果，格式差异导致无法匹配。

内容的提问来源于stack exchange，提问作者Oliver