phpsessid - 是否值得将 session 名称更改为散列的和特定于访问者的名称

Question

我想知道出于安全目的是否值得使用 session_name() 函数将默认的 phpsessid 重命名为散列或加密的 id？

如果是这样，实现它的最佳方式是什么？

谢谢，

Answer 1

网上有很多关于此的文章，以及我在 StackExchange 上阅读的以前的问题。加密您的 session_id 只会创建另一个随机数，该随机数与原始随机数一样容易劫持。

如果您考虑一下，如果您对 session 进行加密，您要么将 session_id 重新分配给新数字(在这种情况下您什么也没做)，要么您将在脚本中使用加密/解密函数。

如果您使用后一种方法，并且有人获得了另一个用户的加密 session ID，它将被您的脚本解密，并且仍然会被授予访问权限。

简而言之，进一步加密您的 session_id 并超出其分配的随机数没有什么意义，也没有真正的实用性。