php - 在 session 中存储什么？

Question

我了解 session 固定和劫持的所有问题。我的问题很简单:我想用 PHP 创建一个身份验证系统。为此，在登录后，我只将用户 ID 存储在 session 中。

但是:我看到有些人做了一些奇怪的事情，比如为每个用户和 session 生成一个 GUID 并存储它，而不仅仅是 session 中的用户 ID。为什么？

客户端无法获取 session 的内容 - 或者可以吗？

Answer 1

你是对的。客户端只会看到一个随机生成的 session ID token 。这个 token 可以通过多种方式被滥用(劫持等)，但是在顶部有一个 GUID 不会增加任何东西。相比之下，像 session.cookie_httponly 这样的选项(JavaScript 看不到 session cookie)session.cookie_secure (Cookie 只能通过 HTTPS 传输)防止某些攻击场景。