php - php session 从用户端是不可更改的吗？

Question

这个问题在这里已经有了答案:

Can a user modify a PHP session? (3 个回答)

关闭 7年前。

我正在开发我自己的需要用户登录的应用程序。所有用户和密码(加密)都存储在数据库中。当用户尝试登录时，它会在数据库中搜索用户名和密码。如果一切正常，那么我将 username 存储在 $_SESSION["username"] 中，用户 role(管理员、作者等)存储在 $_SESSION["role"] 和 $_SESSION["website"] 中的用户 website (我需要存储网站，因为应用程序就像“多站点”-我的应用程序托管在客户端托管上，但管理在我的服务器上)。

我读到了 Can a user alter the value of $_SESSION in PHP?我不明白。这种方法在 $_SESSION 中是否安全(存储数据以及用户是否已登录)？

用户可以更改 session 内容吗？ (例如，如果用户已登录并且 $_SESSION["website"] 是 "example.com"，那么用户是否可以更改 session $_SESSION["website"] 到“example.org”来破坏另一个网站？如果是，如何避免或什么是 session 的安全替代方案？)。

请告诉我什么是 session 劫持以及它如何影响我的网站以及如何使 session_id 动态更改？

非常感谢!

Answer 1

$_SESSION保存在服务器中，用户无法修改( session 劫持除外)