如果已知值，可以获取Yii2 Cookie验证密钥

Question

在我的Yii2应用程序中，我使用cookie来存储用户推荐代码。用户知道他们的推介代码是什么，我想知道是否有可能派生用于散列字符串的cookie验证密钥。另外，如果cookie验证密钥是已知的，那么潜在的问题会是什么？

这里是链接到Yii2引导部分上的cookie，如果它有助于使更多的上下文：http://www.yiiframework.com/doc-2.0/guide-runtime-sessions-cookies.html#cookies

Answer 1

默认情况下Yii2使用SHA-256散列这些字符串。这是相当糊涂irreversible。所以这不是安全漏洞。

如果有人有你的cookie验证密钥，他们可以伪造一个cookie。这是真正的威胁，所以请保持您的Cookie验证密钥安全。