Предотвращение слияния файлов cookie

Question

У меня есть JWT Я зашифровал и хотел бы сохранить в HttpOnly безопасном файле cookie & отправить по SSL. Но так как у меня нет cookie, настроенного при первом посещении моего сайта, что помешать кому-то создать файл cookie с тем же именем. & Значение в качестве файла cookie, который я хочу создать, прежде чем создать свой файл cookie? В принципе, что, если они обманывают файл cookie перед входом в систему, а это когда я на самом деле создаю свой файл cookie?

Похоже, что я должен был обеспечить, чтобы мой файл cookie всегда создавался первым, чтобы предотвратить это, поскольку Httponly будет тем, что останавливает это, что не вступает в силу до тех пор, пока я не создам свой файл cookie, не так ли? Есть ли что-то, что мне не хватает, чтобы предотвратить или обойти этот сценарий?

Answer 1

Если кто-то может обмануть JWT, это означает, что ваш секрет, используемый для подписания токена текса, был скомпрометирован. Нет никакого решения, чтобы обойти это, но изменить свой секрет.

В противном случае, если файл cookie существует с данными, которые не могут быть проверены, вы отказываетесь от файла cookie (удаляете его) и не выполняете запрос (например, возвращаете статус 401).