php 安全地检索 session 数据

Question

我正在散列密码、在读取 session 数据时匹配用户代理，以及安全登录用户所需的一切。我对安全检索/读取 session 数据的方法很感兴趣。例如，我正在使用一个从 session 数据数组中获取用户 ID 的函数...

在数据库表中:

a:6:{s:9:"user_data";s:0:"";s:7:"user_id";s:1:"3";s:9:"firstname";s:4:"Tina";s:8:"lastname";s:3:"Fey";s:8:"username";s:8:"lizlemon";s:6:"status";s:1:"1";}

函数(代码点火器):

    function get_user_id()
    {
        if (is_numeric($this->ci->session->userdata('user_id'))) 
        {
            return $this->ci->session->userdata('user_id');
        }
        else
        {
            exit();
        }
    }

我只检查 id 是否为数字。我们是否应该担心检索 session 数据，即使它已安全地添加到数据库中？

Answer 1

您应该永远编写自己的 session 处理程序。使用 sesion_start() 和 $_SESSION[] super 全局。这也打开了使用 PHP security session features 的大门。 ，例如 cooke_secure、http_only cookies 和 use_only_cookies。

session_start() 生成一个非常安全的 session ID，它是一个加密随机数。您可以将 PHP 配置为从 /dev/urandom 中提取此值，这是一个非常安全的熵池，可能是生成 session ID 的最佳方法。