libook
2018-09-25 17:52:58 +08:00
既然你提到了“劫持”，那就是前后端通信协议的锅； HTTPS 是专门被发明用来解决这个问题的；用 HTTP 是明文传输的，完全不可能杜绝中间人劫持。
HTTPS，再加上一系列 HSTS 处理就能满足你的需求，个人评估相比于其他各种 Hack 方案，无论从实施成本、复杂度、有效性还是用户体验上来说，这都是最佳方案。
如果因为各种原因坚持拒绝使用 HTTPS 的话，就只能用一些比较麻烦、效果又不见得好的方案。
楼主想解决的问题：
1. 杜绝中间人拦截 Cookie。这个不用 HTTPS 无解。
2. 杜绝中间人对拦截下来的 Cookie 进行修改。使用非对称加密，前端用公钥加密，后端用私钥解密，中间人没有私钥无法解密 Cookie 内容，也就无法篡改（但这实际上是自己实现了一个简陋版的 HTTPS ）。
3. 杜绝已使用的 Cookie 被重复利用。在 Cookie 中包含一唯一识别码，后端查询这个识别码是否被使用过，如果被使用过就返回 403，未被使用过就记录下来并完成后续的业务。这个得搭配非对称加密才好用。
上面这个方案有很多漏洞，比如：
1. 拦截者拦截你的请求，这时候唯一识别码还没有发送到服务器上，拦截下来的 Cookie 是可以用于其他用途的。
2. 还有，拦截者可以不修改你的 Cookie，直接修改你的请求信息，往往也能达到自己的目的。
3. 前端 XSS 攻击连 HTTPS 都防不了，这个是发生在前端的，必须要前端代码上做好安全措施，防止攻击者将攻击程序注入到其他人可以访问到的页面里。
4. 现在好多浏览器都会强烈提示用户未使用 HTTPS 的网站是不安全的，谷歌浏览器会直接在地址栏上显示“不安全”，从某种程度上来说，如果不用 HTTPS，可能会导致用户体验不大好（用户看到提示缺乏安全感）。