避免会话劫持与Kohana

Question

我必须做任何特别的事情以避免session hijacking使用Kohana framework？ 我假设会话只能用Kohana Session库

Answer 1

本机会话是最容易被劫持的，因为它们不能防止cookie被窃取。除了PHP提供的默认值之外，对本地会话应用的安全性很小。为了提高安全性，您应该添加用户代理或IP地址检查。

Cookie会话被腌制，并支持加密。您应该更改Cookie::$salt以提高安全性。

数据库会话还使用盐渍饼干来存储会话ID，因此您应该再次更改salt。

编辑：你在谈论v2，它对会话有更高的安全性，因为它扩展了本地会话。这种方法更容易出现奇怪的PHP问题，但提供了更高的安全性。检查会话配置文件以添加user_agent和ip_address检查。

Answer 2

操纵我会检查出GitHub上的相关文件。

根据您使用的驱动程序，例如native或db，你可能想深入挖掘。

Answer 3

为了更安全起见，我会使用数据库会话并加密cookie（其中包含会话ID）。