php - 如何设置安全的 PHP session

Question

与我之前的问题类似 - 我不是一个非常有经验的 PHP 程序员。我对 session 或安全性一无所知(除了一个小时前我学到的关于 md5 和 sha1 with salt 的知识)。

我有一个登录系统，我希望创建一个 session 来存储和加密用户名与时间戳混合的字符串。我知道如何创建字符串，但我对 session 及其工作原理一无所知。

过去一个小时我一直在谷歌上搜索解决方案，但它们似乎都太基础或过时了，我正在寻找具有具体安全性但也很简单(由于我缺乏经验)的东西。

假设此字符串已加密，我将如何(在管理页面上)检查用户是否已登录？

我知道有类似的问题，但我需要一个完整的外行人的答案，因为我不知道如何实现这个解决方案。

感谢您提供的任何帮助

Answer 1

I wish to create a session that stores and encrypted string of their username

为什么？除非您正在解密它，否则与使用散列值甚至随机值相比没有任何优势。如果您正在解密它，那么 key 也必须存储在您的数据中 - 因此它只是默默无闻的安全性。

How would I (on administrative pages) check to see if the user has logged in, assuming this string is encrypted?

在用户名通过身份验证之前，不要将其存储在 session 变量中。然后，如果变量被填充，您就知道用户已通过身份验证。