PHP 身份验证/ session 处理 : Ground Up or Framework/Package?

Question

tl;dr version 我需要一个可公开访问的公司内部工具的性感 session 和身份验证处理程序。我应该创建自己的工具还是每个人都觉得梦幻般的现有工具？

这是我的具体情况:

身份验证:过去几周我一直在研究 PHP 中的用户安全危险，似乎您越深入兔子洞，需要学习的东西就越多。我相信我可以编写一个系统来根据每个请求轮换 session ，可以防止 XSS 和 XSRF，并且通常可以很好地保护我的后端。我对研究现有工具犹豫不决，因为与其他人相比，相信自己和责怪自己更容易。

session 处理:我对安全性的研究越深入，就越觉得在数据库内部使用 session 处理比使用 PHP 原生的 session 处理更明智。这样，您可以更轻松地构建和监控 ACL、集群等。

我对数据库结构的担忧是，如果有数百人在每次页面调用时同时更改他们的 session_id，我可能会遇到一些大规模的性能问题。

最初我计划在 PHP 中为此创建自己的类并使用 MySQL 作为后端。现在我担心 MySQL 会出现并发问题。我研究过像 MongoDB 这样的 NoSQL，但后来我觉得自己可能对这该死的事情想得太多了，这让我陷入了瘫痪。然后在大脑卡住疼痛结束后，我开始想“一定有人已经这样做了，我保证他们已经想到了我愚蠢到无法考虑的一切。”

我希望有更聪明的人遇到过我面临的相同问题，并为我提供一些建议。对于这种类型的目的，有什么值得您信任的东西吗？或者我应该继续自己编写自己的东西吗？如果是的话，您认为哪种工具是完成此类任务的最佳选择？

如果您做到了这一点，非常感谢您抽出宝贵时间，我期待听到社区对此的想法!

Answer 1

最好使用您自己的代码，但这只是我的意见...

"someone has to have already done this and I guarantee they've thought of everything I'm too stupid to consider."

好吧，如果你是对的，那就太好了。但是如果你错了怎么办……你会查看框架的整个代码吗 :O ？

当你编写代码时 - 你知道它的作用:)

关于数据库性能问题——在 session 中缓存所有你能缓存的内容。

而且我敢肯定，如果您自己小心编写代码，它会比任何框架都快...