php - isset($_SESSION ['admin' ]) 是一种授予访问权限的危险方式吗？

Question

如果(为了争论)'admin-access' 在 php 中被授予:

if (isset($_SESSION['admin']))  // this session would be set
{ // grant access; }            // after a successful login
else { //redirect ;}

如果您知道 session 的名称(在本例中为 admin)，这会不会特别容易绕过和伪造？

换句话说，如果所有脚本都要求“设置” session ，有人可以轻易伪造 $_SESSION 吗？

Answer 1

使用 isset() 对安全性来说还不错。如何使用它取决于您的逻辑。如果您不仅检查 isset() 还检查​​它的值，那就太好了。

例如:

if( isset($_SESSION['admin']) && $_SESSION['admin'] == true ) { 
  // grant access
} else { 
  //redirect 
}

或者像这样:

if( isset($_SESSION['admin']) && $_SESSION['admin'] == '1' ) { 
  // grant access
} else { 
  //redirect 
}