这种会话管理/认证的方法好吗？

当用户登录时，将生成一个随机会话ID并将其存储在其数据库表格行以及其会话变量中。在访问任何经过身份验证的网站部分之前，请检查会话变量中存储的会话ID是否与用户的表格行中的会话ID相同。
我的问题是，是否比在会话变量中设置布尔标志更安全？这种会话管理/认证的方法好吗？

谢谢

来源

2012-03-22 user1168320

您存储在会话字典中的会话变量是一个简单的内存字典集，通过来自客户端的HTTP cookie接收会话ID。该会话ID已经随机生成一个很大的密钥空间，或者用户可以猜对方的会话ID，这样你生成一个新的会话ID是完全浪费和不必要的。让PHP和任何你得到的框架来处理认证。确保使用HTTPS加密传输，并且足够安全。 – Henrik 2012-08-31 14:11:35

这稍微安全些。现在，攻击者必须能够阅读与客户的部分通信（比如，通过WiFi嗅探器坐在办公室外面，或者在麦当劳旁边的桌子旁，或者在公车旁边）。但是，这仍然不是一个特别好的主意。谷歌“重播攻击”，对于初学者...

来源

2012-08-30 19:02:05 BRFennPocock

MITM攻击不是特定于* authentication *协议，而是传输安全性，所以你的回答没有多大意义。 – Henrik 2012-08-31 14:08:59

这种会话管理/认证的方法好吗？

回答

相关问题