¿Qué son las cookies “firmadas” en connect / expressjs?

Estoy tratando de averiguar qué son realmente las "cookies firmadas". No hay mucho en la red, y si intento esto:

app.use(express.cookieParser('A secret'));

Pero aún así ... Las cookies siguen siendo 100% normales en el navegador, y realmente no sé qué es "firmado" aquí (tenía la esperanza de "ver" alguna rareza en el cliente, algo así como los datos cifrados con ¿"Un secreto" como la sal?)

La documentación dice ( https://github.com/expressjs/cookie-parser ):

Analizar el encabezado de la cookie y completar req.cookies con un objeto codificado por los nombres de las cookies. Opcionalmente, puede habilitar la compatibilidad con cookies firmadas pasando una secretcadena, que se asigna req.secretpara que pueda ser utilizada por otro middleware.

¿Alguien sabe?

Merc.

La cookie seguirá siendo visible, pero tiene una firma, por lo que puede detectar si el cliente modificó la cookie.

Funciona creando un HMAC del valor (cookie actual) y lo codificó en base64. Cuando se lee la cookie, vuelve a calcular la firma y se asegura de que coincida con la firma adjunta.

Si no coincide, dará un error.

Si también desea ocultar el contenido de la cookie, debe cifrarlo en su lugar (o simplemente almacenarlo en la sesión del lado del servidor). No estoy seguro de si ya existe middleware para eso o no.

Editar

Y para crear una cookie firmada, usaría

res.cookie('name', 'value', {signed: true})

Y para acceder a una cookie firmada utilice el signedCookiesobjeto de req:

req.signedCookies['name']

Sí, como menciona emostar, es simplemente para asegurarse de que un valor no haya sido manipulado. Se coloca en un objeto diferente (req.signedCookies) para diferenciar entre los dos, lo que permite al desarrollador mostrar su intención. Si se almacenan en req.cookies junto con los demás, alguien podría simplemente crear una cookie sin firmar con el mismo nombre, anulando todo su propósito.

He estado buscando bastante una buena respuesta a esto ... Y mirando el código fuente de cookie-signature, que es utilizado por cookie-parserpara firmar las cookies firmadas, me ha dado una mejor comprensión de qué es una cookie firmada.

vales, por supuesto, el valor de la cookie, y secretes la cadena que agrega como opción a cookie-parser

https://github.com/visionmedia/node-cookie-signature/blob/master/index.js#L16

Usé la versión de cookie-parser 1.4.4.

Podría agregar cookies firmadas y cookies firmadas encriptadas en el navegador. Si trato de editar la cookie firmada usando editThisCookie (complemento de Chrome), el analizador de cookies detecta el cambio externo y luego establece como valor falso.

response.cookie('userId',401,{signed: true})

Encabezado de respuesta en el navegador, aparece como

Set-Cookie: empId=s%3A101.US2oSV4TSvfkvvEQ5fj1sXsjj8rNxx2ph4VdHNTuKX8; Path=/

Obtener cookie firmada

request.signedCookies

https://gist.github.com/dineshbalaji/607d166f0240f932a5cb02099b0ece4c