Token phiên ẩn

Định nghĩa

Một định danh không mang ý nghĩa nào đối với người giữ nó — nó tham chiếu tới trạng thái phía máy chủ thay vì mô tả nó, vì vậy client không thể đọc, sửa đổi hoặc đoán giá trị lân cận.

Sự tương phản là với một định danh trong suốt. Nếu một trình xem truy cập tài liệu bằng /view?file=/records/2026/patient-4417.pdf, client sẽ biết cấu trúc thư mục của bạn, quy ước đặt tên và rằng bệnh nhân 4416 có thể tồn tại. Tăng một số nguyên là lỗi rò rỉ tài liệu cổ nhất, và nó vẫn còn được viết ngày nay.

Một token ẩn loại bỏ toàn bộ danh mục. Máy chủ giữ ánh xạ từ token tới tài liệu; client giữ một chuỗi không thể giải thích. Việc liệt kê không còn khả thi vì không có gì để liệt kê.

Token ẩn không có nghĩa là vô hại. Một token vẫn cho phép truy cập vào bất kỳ thứ gì nó tham chiếu, vì vậy nó nên được coi là chứng chỉ ngắn hạn: không ghi log, không đưa vào URL mà cuối cùng xuất hiện trong phân tích, không lưu trữ phía client sau thời gian xem.

Trong Doconut

Viewer.OpenDocumentAsync() trả về một token ẩn mà widget JavaScript dùng để lấy các trang. Nó không phải là định danh tài liệu và không bao giờ nên được ghi log, lưu bộ nhớ cache phía client ngoài trình xem, hoặc tái sử dụng qua các phiên.

Token phiên ẩn

Các thuật ngữ liên quan

Xem cách nó hoạt động trong thực tế