如何保护PHP中的PHPSESSID？

Question

我对如何保护PHPSESSID非常无能。 session_id的值是否来自PHPSESSID？如果session_id受到威胁将会是灾难性的。有人有主意吗？

Answer 1

下面是PHP手册中的一篇文章，解释了PHP会话安全：link

可能保护你的会议将是使您的网站的SSL和饼干会话ID迫使存储的最有效途径。然后，cookies将被加密，因为它们将传递到您的网站，并应保证足够的保护。

Answer 2

session_id存储在用户系统的cookie中。不确定你的意思是保护它。

Answer 3

您可以使用HTTPS作为RaYell说，但如果你买不起的证书，还有一些方法，以确保即使在HTTP会话：

• 商店的用户代理在会话时创建会话。检查每个请求上的用户代理。如果用户代理发生更改，请删除该会话。
• 同上，但带有IP地址。令人讨厌的是有很多ISP提供动态IP，会话可以被非法删除。
• 设置低会话超时。这不会阻止会话劫持，但会降低风险。当心，这可以惹恼用户。
• 设置低会话生存期（1天）。这将迫使用户在1天后重新进行身份验证，因此即使会话被劫持，也不会被劫持超过一天。

记住这些建议不会阻止会话劫持。他们将大大降低风险，但总会有风险，除非您使用HTTPS。