避免會話劫持與Kohana

Question

我必須做任何特別的事情以避免session hijacking使用Kohana framework？ 我假設會話只能用Kohana Session庫

Answer 1

本機會話是最容易被劫持的，因爲它們不能防止cookie被竊取。除了PHP提供的默認值之外，對本地會話應用的安全性很小。爲了提高安全性，您應該添加用戶代理或IP地址檢查。

Cookie會話被醃製，並支持加密。您應該更改Cookie::$salt以提高安全性。

數據庫會話還使用鹽漬餅乾來存儲會話ID，因此您應該再次更改salt。

編輯：你在談論v2，它對會話有更高的安全性，因爲它擴展了本地會話。這種方法更容易出現奇怪的PHP問題，但提供了更高的安全性。檢查會話配置文件以添加user_agent和ip_address檢查。

Answer 2

操縱我會檢查出GitHub上的相關文件。

根據您使用的驅動程序，例如native或db，你可能想深入挖掘。

Answer 3

爲了更安全起見，我會使用數據庫會話並加密cookie（其中包含會話ID）。