PHP:存储登录用户

Question

当用户登录网站时，我需要以某种方式存储登录的用户 ID，以便我的网站可以为不同的用户生成不同的内容。

将用户 ID 保存在 $_SESSION[] 变量中是否安全？

用户是否可以更改 $_SESSION[] 数据并伪装成另一个用户？

我使用 id 来检查我应该从数据库中获取哪些数据，以及查看用户拥有哪些权限。

Answer 1

公认的最佳做法是在 session 中保存用户 ID。

默认情况下， session 作为文件存储在 /tmp 中。除非您有诸如 directory traversal 之类的安全问题，否则最终用户无法查看它漏洞。大多数应用程序都像您一样使用 $_SESSION。如果存在广泛的弱点，那么主要项目的做法就会有所不同。您不必担心通过客户端漏洞获取服务器端 session 值。还要记住使用 session 的简单性。它使数据访问能够访问您需要在整个应用程序中持续、标准和一致地访问的用户特定数据。