震惊！论坛退出登录竟不清除Cookie！

青春向上

一组操作简单验证：

1、从浏览器中提取Cookie

2、使用postman发送需要Cookie的请求（此处访问个人空间）
如果Cookie无效或过期，则应该显示以下页面

携带复制的Cookie，说明Cookie有效

3、此时在浏览器中退出登录（理论上退出登录后，Cookie应无效！）
其实退出登录只是一个链接：（需要formhash，不用担心点击后退出）

这个时候它会显示已退出

并且刷新网页后的确显示未登录

4、重点来啦，仍旧使用刚才复制的Cookie访问个人空间（验证Cookie有效性）
不贴图了，因为仍旧有效，自己试去。
5，那为什么显示已退出登录呢？因为你访问退出登录时，服务器使用响应头强制将Cookie设置为过期（相当于清除了Cookie）

但是这只是本地有效！通过上述验证Cookie并没有被服务器删除！这代表你的Cookie如果泄漏，你除了改密码别无它法！

青春向上

补充：
formhash：
discuz论坛（mt论坛就是）随机生成的一串字符，具有不可造假性，用于登录、签到、退出等敏感操作。
postman：接口测试工具，可以发送自定义http请求，此处用于模拟浏览器访问网页。

---

PS：其实我也没试过改密码能不能让Cookie失效，不想改密码，有兴趣的大佬可以帮忙验证一下。

1034205079

只是路过看一下

小宇宙

这不得@Bin 来看看？

Fix

主要是cookie能不能在另一个设备（浏览器）上直接正常使用，但我不会操作

yxm068

楼主研究透彻。点赞

青春向上

Fix 发表于 2026-2-11 11:46
主要是cookie能不能在另一个设备（浏览器）上直接正常使用，但我不会操作

当然可以使用了，你可以去问ai，在apk中有一个方法可以修改web容器的Cookie，Cookie功能大了，和拥有你账号没有任何区别。（除了不能改密码，因为需要旧密码）

Fix

青春向上 发表于 2026-2-11 12:14
当然可以使用了，你可以去问ai，在apk中有一个方法可以修改web容器的Cookie，Cookie功能大了，和拥有你账 ...

那确实是得注意了

hai850888

吓得我赶紧把浏览器揣口袋里了，谁拿我和谁玩命

优梨

历害