php - 用户可以修改 PHP session 吗？

Question

Page1.php:

<?php
session_start();
if ($_POST['password'] == "testpass")
    $_SESSION['authenticated'] = true;
?>

Page2.php

<?php
session_start();
if (isset($_SESSION['authenticated']) && $_SESSION['authenticated'] == true) {
    echo "Super secret stuff!";
}
?>

用户可以在没有 super 安全密码的情况下进入吗？

Answer 1

没有。 $_SESSION 变量中的数据存储在服务器上，用户无法访问。

session 通过 cookie 与用户关联。带有标识符(即长随机字符串)的 cookie 被发送给用户以识别用户并将他链接到他的 session 。如果其他人获得了对这个 cookie 的访问权限，他可以使用相同的代码来假装他是用户，这样他就可以在没有密码的情况下进入。