如何保護PHP中的PHPSESSID？

Question

我對如何保護PHPSESSID非常無能。 session_id的值是否來自PHPSESSID？如果session_id受到威脅將會是災難性的。有人有主意嗎？

Answer 1

下面是PHP手冊中的一篇文章，解釋了PHP會話安全：link

可能保護你的會議將是使您的網站的SSL和餅乾會話ID迫使存儲的最有效途徑。然後，cookies將被加密，因爲它們將傳遞到您的網站，並應保證足夠的保護。

Answer 2

session_id存儲在用戶系統的cookie中。不確定你的意思是保護它。

Answer 3

您可以使用HTTPS作爲RaYell說，但如果你買不起的證書，還有一些方法，以確保即使在HTTP會話：

• 商店的用戶代理在會話時創建會話。檢查每個請求上的用戶代理。如果用戶代理髮生更改，請刪除該會話。
• 同上，但帶有IP地址。令人討厭的是有很多ISP提供動態IP，會話可以被非法刪除。
• 設置低會話超時。這不會阻止會話劫持，但會降低風險。當心，這可以惹惱用戶。
• 設置低會話生存期（1天）。這將迫使用戶在1天后重新進行身份驗證，因此即使會話被劫持，也不會被劫持超過一天。

記住這些建議不會阻止會話劫持。他們將大大降低風險，但總會有風險，除非您使用HTTPS。