php - 基本的 ssl 和 php

Question

好的

1. 是 http://example.com/login 上的 session 与 https://example.com/login 相同 ?

2. 昨天我发了一篇关于 php sessions empty using ssl? 的帖子事实证明我的 ssl 正在工作，但我们必须首先登陆 ssl 页面，例如 https://url.com/test然后 https://url.com/test2马上我们做不到http://url.com/test然后到http://url.com/test2 (工作)然后到https://url.com/test2或向后。我们可以做到，但我们必须先删除 cookie。 我们如何在不重启 cookie 的情况下让它在 http 和 https 上工作？如果你们知道 github，他们是怎么做到的？他们是否通过根文档而不是域(https 到 http)保存 session ？

3. 在实现 ssl 之前我还需要知道什么吗？或者可能有一些提示？]感谢关注

亚当·拉马丹

Answer 1

1. 它们应该相同，但可能是您在 PHP session cookie 上设置了“安全”位。这意味着 session cookie 只会在您使用 SSL 连接时一起发送。参见 session_set_cookie_params获取更多信息。

2. 记住整个Facebook/Firesheep问题？长话短说:如果您允许用户在登录时从 HTTPS 切换到 HTTP，您的 session 可能容易受到 session 劫持。您可能实际上不想让它工作。因此，您需要使用 session_set_cookie_params() 为您的 session cookie 设置“安全”标志。解决登录用户问题的方法是，只要您的用户登录时只包含一个“user_was_logged_in”标志，就设置一个简单的(安全标志设置为 false)cookie。然后，添加一些查找该 cookie 的代码，当它找到它时，它只是将用户重定向回网站的 HTTPS 版本。

3. 确保您的用户在使用 HTTPS 进行敏感操作时不会意外掉回 HTTP。如果他们这样做，他们应该在继续或处理请求之前被发送回 HTTPS 站点。