Cookie会话和安全

Question

我有一个网络应用程序，用户登录后，他/她的cookie设置为由setcookie()设置的用户名。

请提出更好的安全方法。

Answer 1

使用PHP会话而不是cookie。会话变量是服务器端的。 PHP将自动处理会话管理。如果你想要更多的控制，你也可以重载它的功能。

http://php.net/manual/en/intro.session.php

session_start(); 

$_SESSION['user'] = 'michael' 

使用PHP的会话，只有会话标识符存储在浏览器Cookie。您可以将任何信息存储在超全局变量$_SESSION中，并且浏览器将无法查看或篡改这些变量。

为了更加安全，您应该存储用于登录的远程地址，并在每次页面加载时进行比较。这是为了确保没有人劫持会话ID并假装从另一个位置登录。

session_start(); 

if (_logging_in__) { 
    $_SESSION['user'] = 'michael' 
    $_SESSION['ip'] = $_SERVER['REMOTE_ADDR']; 
} 

要查看用户是否登录。

session_start(); 

if (isset($_SESSION['user'])) { 
    // the user is logged in 
    if ($_SERVER['REMOTE_ADDR'] != $_SESSION['ip']) { 
     // the session id was hijacked so log out 
     session_destroy(); 
     exit; 
    } 
}