基于 cookie 的会话管理中的身份验证和加密密钥

Question

我的查询来自尝试使用会话存储，例如。Golang 中的RedisStore，其中存储将可变参数作为最后一个参数，根据文档，该参数是身份验证和加密密钥对。我看到的大多数例子在这里只使用一个参数（例如“secret”、“mysecret”等），我无法获得有关通过发送多对身份验证和加密密钥实现的结果的任何信息。有人可以解释更多或指导我了解有关使用 cookie 的会话管理中身份验证和加密密钥的目的的一些信息。

Answer 1

从文档：

密钥成对定义以允许密钥轮换，但常见情况是设置单个身份验证密钥和可选的加密密钥。

第一对用于认证、加密和解密，所有其他对只用于认证和解密（但不加密）。

这是密钥轮换的一种非常常见的策略。定期生成新的密钥对，成为新的加密密钥。保留一些或所有其他密钥，以便在一段时间内仍可以对现有数据进行解密。最旧的密钥最终可以被丢弃。这限制了公开密钥的影响，因为它在一段时间后变得无用。

其他使用此方法的软件：

• 谷歌的 KMS：https://cloud.google.com/kms/docs/key-rotation

• 亚马逊的 KMS：https://docs.aws.amazon.com/kms/latest/developerguide/rotate-keys.html

• HashiCorp 的金库：https://www.vaultproject.io/api/secret/transit/index.html#rotate-key