如何构建安全的登录系统？解决session ID被盗取导致数据泄露的问题

Cookie 安全配置 #

• 开启HttpOnly属性：禁止前端JavaScript读取session cookie，从根源避免XSS漏洞窃取session id
• 开启Secure属性：仅允许cookie在HTTPS协议下传输，避免HTTP明文传输过程中被中间节点窃听篡改
• 配置SameSite属性为Lax或Strict：阻止跨站请求携带cookie，直接防御绝大多数CSRF攻击
• 设置合理有效期：会话级cookie随浏览器关闭自动失效，持久化cookie的Max-Age不要超过7天，避免长期有效cookie被盗用后长期可用

Session 机制加固 #

• 调整session token生成逻辑：废弃手机号+当前时间hash的生成方式，改用密码学安全的随机数生成器（如SecureRandom、crypto.randomBytes）生成至少32位长度的无规律随机串作为session id，避免token被攻击者预测碰撞
• 服务端增加session过期机制：存储session时必须绑定过期时间，每次请求校验时如果超出有效期直接销毁session，即使用户未主动登出，到期后会话也会自动失效
• 登出时彻底销毁session：用户触发登出操作后，直接从服务端存储中删除对应session记录，不要仅替换新session就留用旧记录
• 绑定终端特征：存储session时同步记录用户的User-Agent、IP段等终端特征，每次请求校验时比对特征，若差异过大直接触发重新登录，缩小session被盗后的可用范围
• 敏感操作二次校验：涉及用户信息修改、资产操作等敏感请求时，不能仅依赖session id校验，要求用户额外输入密码或短信验证码，就算session id被盗，攻击者也无法完成高危操作

其他补充优化 #

• 密码必须加盐慢哈希存储：不要明文或用MD5/SHA1等快速哈希存储密码，改用bcrypt、Argon2等慢哈希算法加盐存储，就算数据库泄露攻击者也无法还原用户明文密码
• 增加登录防护：同一手机号短时间内多次登录失败直接锁定账号15~30分钟，防止暴力破解密码
• 增加会话管理功能：用户可在个人中心查看所有活跃登录会话，支持手动踢掉陌生设备的会话
• 接口增加CSRF Token校验：涉及状态变更的POST/PUT/DELETE请求，要求额外携带请求头/请求体中的CSRF Token校验，进一步降低跨站攻击风险

内容的提问来源于stack exchange，提问作者Aryan Kumar