可以在机器之间复制Cookie来冒充用户吗?

当然。这是一种方式 cross-site scripting (XSS) attacks 工作:

1. 我在页面中注入javascript
2. 我等待有人查看页面
3. 我注入的javascript向我发送了你的cookie
4. 我以你的身份登录,做坏事

这个特殊的问题 bit SO 在私人测试期间。

是的,窃取Cookie是一种从用户那里窃取会话的常见技术。

一些网站试图将cookie绑定到客户端的IP,但在具有多个外接接口或其他非驻留设置的大型企业代理面前失败了。

即使其他一切正常,如果有人可以物理访问用户的机器,他们也可以将Cookie复制到另一台机器上。

例如,如果需要,只需克隆磁盘!

除了其他答案。永远不要相信来自网络应用程序用户的任何东西,无论它是否加密。

这与在客户端和服务器上验证输入的想法有关。不要相信客户端的验证已经完成。