php - session 劫持和 PHP

Question

让我们只考虑服务器对用户的信任。

session 固定:为避免固定，我仅在身份验证 (login.php) 中使用 session_regenerate_id()

session 劫持:对整个站点进行 SSL 加密。

我安全吗？

Answer 1

阅读 OWASP A3-Broken Authentication and Session Management .另请阅读 OWASP A5-CSRF ，有时也称为“ session 骑行”。

您应该在 php 头文件中使用此代码:

ini_set('session.cookie_secure',1);
ini_set('session.cookie_httponly',1);
ini_set('session.use_only_cookies',1);
session_start();

这段代码阻止了session fixation .它还有助于防止 xss 访问 document.cookie，这是 Session Hijacking 的一种方式。可能发生。强制使用 HTTPS only cookie 是解决 OWASP 问题的好方法 A9-Insufficient Transport Layer Protection .这种使用 HTTPS 的方式有时被称为“安全 cookie”，这是一个糟糕的名字。还有 STS是一项非常酷的安全功能，但并非所有浏览器都支持(目前)。