从webview窃取cookie

Question

在我的应用程序中，我使用cookie来实现“记住我”功能。用户通过webview登录，如果登录成功，网页将设置cookie。然后，此cookie用于在下次应用程序启动期间自动登录用户。我想知道这个cookie在设备上有多安全。有没有办法在没有越狱设备的情况下窃取用户cookie？如果是，我怎样才能使其安全？

Answer 1

这个问题太宽泛，无法特别回应 - 你应该考虑缩小以下几点：

• 您使用的是WKWebView还是UIWebView？他们使用完全不同的方法进行cookie管理。
• 您期望哪些攻击媒介以及您的产品对哪种安全级别有意义？

通常，安全级别和攻击媒介与一般浏览器大致相同。您可以查看OWASP TOP-10以确保您的Web应用程序可以抵御主要攻击媒介。

从设备的角度来看，Cookie可以从文件系统（使用iExplorer等应用程序）从解锁设备中窃取 - 您可以使用iOS Data Protection功能。

修改

通过iExplorer查看Cookie：

1. 下载it;
2. 连接iPhone并将其解锁
3. 启动iExplorer，选择您的设备 - ＆gt;应用 - ＆gt;你的应用
4. 您将看到应用的容器文件系统层次结构
5. 导航库 - ＆gt; Cookie
6. 选择.binarycookies文件并将其导出到Mac文件系统（右键单击 - ＆gt; iExplorer中的导出）
7. 使用.binarycookies reader