php - 为什么不使用 PHP 的内置 session 处理？

Question

PHP 的内置 session 处理目前是否存在或曾经存在过任何严重或重要的问题？

我的意思是，它对我和我的项目一直有效。

但我看到一些代码库和框架似乎使用自定义处理程序。这是在重新发明轮子吗？或者改进一些缺陷？什么缺陷？

Answer 1

PHP 内置 session 处理器的优缺点

1. 优点:

   1. 易于使用(只需使用 session_start() 即可)
   2. 可用的 OOTB。

2. 缺点:

   1. 仅使用 SESSID(或 SID、SESSIONID 等)cookie 来识别用户。这并不多，而且这些信息很容易被 XSS 攻击或类似的东西窃取。
   2. 在大多数情况下，您无法执行诸如获取事件 session 总数之类的操作(通常用于谁在线？功能)

您自己的 session 处理程序的优缺点

1. 优点:

   1. 按照您希望的方式工作
   2. 完全控制您如何识别用户。您可以使用 cookie、IP 地址、浏览器签名来确保窃取 session 是不可能的(或者至少这是一项更难的任务)。
   3. 您可以选择存储 session 数据的位置(数据库/文件系统)
   4. 您可以控制整个 session 机制

2. 缺点:

   1. 你必须花几分钟来创建这样的处理程序