
Device Bound Session Credentials (DBSC) 研究筆記:多幾個 Header 和硬體驗證就安全?
Device Bound Session Credentials (DBSC) 是由 Chrome 安全團隊推動、提交至 W3C WICG 的瀏覽器安全標準,用來防範本機 Session Cookie 被竊密程式偷走並跨機冒用。運作上透過電腦的 TPM 或 Secure Enclave 保存無法匯出的硬體私鑰,搭配短效 Cookie 與 403 Challenge 驗證,讓瀏覽器在背景自動完成簽章續期。本文介紹 /StartSession 與 /RefreshEndpoint 協定標頭、OpenSSL ES256 驗簽、長短效 Cookie 透明續期機制,以及硬體效能評估、瀏覽器支援範圍與後端相容策略。文中並以無資料庫 PHP Session、第三方登入、心跳 API、Redis 與 Next.js 等五種架構為例,完整拆解導入步驟、多種客戶端驗證設計、AI 輔助開發實作重點,以及 Google、Vercel 的後續實踐方向。











































