在網址中顯示會話ID是否是一種很好的做法？

Question

我使用的是PHP 4+，我在osCommerce項目中工作，在那裏我遇到了URL中的會話ID，所以我只需要知道，它是一個很好的做法顯示在網址上的會話ID？如果是，那麼爲什麼？如果沒有，那麼爲什麼？以及如何隱藏網址中的會話ID，並在網址中使用任何替代字符串？

Answer 1

將替代字符串放在那裏是毫無意義的 - 問題是，如果您使用的是URL驅動而不是Cookie驅動的會話跟蹤，那麼URL中的內容必須標識會話。無論是實際的會話ID還是可以從中派生出來的東西，都不在這裏，也不在那裏 - 你不會通過混淆使事情變得更安全。

這是一個好主意，部分取決於它周圍的附加安全性。如果您可以將會話嵌入式URL從一臺機器轉移到另一臺機器，並且只是像在同一會話中的同一用戶一樣繼續，那麼不會。但是你需要更多地瞭解它背後的網站才能回答這個問題。

Answer 2

當Cookie不被廣泛支持/啓用時，會使用URL會話ID。我認爲今天沒有任何理由使用它們。它們看起來很醜陋，它們對用戶不友好（你不能只輸入URL並且希望被登錄），並且它們具有安全風險（儘管它們本身不是脆弱的），它們使會話劫持漏洞更容易利用。