通过cookie安全地在php和node.js之间共享数据

一尘不染

通过cookie安全地在php和node.js之间共享数据

node.js

我有一个PHP网站，为了进行实时更新和聊天，我已经安装了Node.js，并且运行良好。

PHP和Node.js都可以访问相同的MySQL数据库。

但是问题是要验证已经登录到PHP站点的用户的身份。

我不想通过任何方式（无论是否使用REST）与PHP应用程序对话。因为对我来说，这将与使用Node.js的目的相违背，因为随后每个Node.js请求都将产生一个新的PHP页面请求。

我想要的是一种PHP和node.js都可以理解的加密和解密方法

这样我就可以为Node.js请求设置具有加密值的cookie，该cookie将位于updates.mydomain.com子域中。通过读取cookie，Node.js可以解密其值并验证用户的身份。

所以，我的问题是：是否有使用相同的加密密钥通过PHP和Node.js支持的任何加密和相应的解密方法？

更新

实际上，我不希望在客户端：D上解密它，因为解密的整个重点都是毫无意义的。我想做的是-

1）PHP生成cookie加密的用户信息，并将该cookie用于特定域，例如updates.mydomain.com

2）然后，node.js将为每个后续请求获取cookie，并使用相同的加密密钥在服务器端解密数据。

如您所见，这就是为什么我想知道，PHP和node.js之间是否存在通用的加密/解密系统，以便一个人可以解密另一个人的加密数据，反之亦然。

这样，我可以安全地将当前登录的用户身份从PHP转移到node.js，而我不必担心其他类型的会话管理：)

简而言之，通过PHP加密->通过Node.js解密->返回相同的数据。可能？

谢谢，
Anjan

阅读 356

2020-07-07

共1个答案

一尘不染

最好的方法（imho）是将会话信息存储在数据库中，然后确保Node可以读取PHP应用程序设置的会话cookie。

然后，它可以仅针对数据库检查会话cookie，以确保用户已登录。

加密范例

如果你真的真的要使用加密，要知道，这很可能会不太安全，并采取更多的时间比简单地改变PHP的session后端做的，但这里有一个例子大概可以工作：

在PHP中，加密数据：

<?php
$encryption_key = 'somethingverysecretandpreferrablylong';
$vector = 'anotherlongwindedstring';
mcrypt_encrypt(MCRYPT_RIJNDAEL_256, $encryption_key, 'My secret message', MCRYPT_MODE_CBC, $vector);
?>

并在Node.js中解密；

var crypto = require('crypto');
var decipher = crypto.createDecipher('aes-256-cbc','InmbuvP6Z8');
decipher.update(crypted_string_from_cookie,'hex','utf8');
decipher.final('utf8');

并且，请谨慎使用此代码。我绝不是安全专家，因此，如果您想加密任何敏感内容，都应该得到:)的同行评审。

2020-07-07