php - php session ID的唯一性

Question

php session ID 的唯一性如何？我从读过的各种内容中得到的印象是，我不应该依赖两个用户永远不会获得相同的 sessionid。不是 GUID 吗？

Answer 1

它在发货时并不是很独特。在默认配置中，它是各种事物的哈希结果，包括 gettimeofday 的结果(这并不是非常独特)，但如果您担心，您应该将其配置为从/dev/urandom 中提取一些熵，就像这样

ini_set("session.entropy_file", "/dev/urandom");
ini_set("session.entropy_length", "512");

在 the code 中搜索“php_session_create_id”对于他们正在使用的实际算法。

编辑添加:有一个由 pid 播种的 DFA 随机数生成器，与 usecs 中的时间混合。这不是一个确定的唯一性条件especially from a security perspective .使用上面的熵配置。

更新:

As of PHP 5.4.0 session.entropy_file defaults to /dev/urandom or /dev/arandom if it is available. In PHP 5.3.0 this directive is left empty by default. PHP Manual