session secrète? qu'Est-ce que c'est

Question

Je ne connais rien à la cryptographie. Je me demande quel est le secret de la session.

Je vois le code comme ceci:

   app.use(express.session({ store: mongoStore({url:app.set('db-uri')}), secret: 'topsecret' }));
 

Quel est le secret et devrais-je le changer?

Answer 1

Bien sûr, vous pouvez le changer si vous le souhaitez. Un secret de session dans connect est simplement utilisé pour calculer le hachage. Sans la chaîne, l'accès à la session serait essentiellement "refusé". Jetez un coup d'œil à la documentation de connexion , cela devrait aider un peu.

Answer 2

Le secret est utilisé pour hacher la session avec HMAC:

https://github.com/senchalabs/connect/blob/master/lib/middleware/session.js#L256

La session est alors protégé contre le vol de session, par la vérification de l'empreinte digitale avec le hachage avec le secret:

https://github.com/senchalabs/connect/blob/master/lib/middleware/session.js#L281-L287