php - 此登录 session 安全吗？

Question

我使用 PHP session 创建了一个登录系统。

这是它的工作原理:

1.) 当用户登录时(使用有效的登录信息):他们的信息(username 和 password)与其他一些信息一起存储在 session 中:过期时间:这只是在当前时间上增加了 5 分钟(因此，如果用户登录时间为 22:30，则过期时间将为 22:35)。

2.) 在登录用户的每个页面 View 上:检查 session 以查看是否存在。如果没有，用户将被重定向到登录页面。如果 session 确实存在，则它会检查 过期时间 并将其与 当前时间 进行比较。如果 expire time 大于 current time(用户已处于非事件状态 5 分钟以上)，则检查他们的用户详细信息(在 session 中)(与在数据库中)和 Expiretime session 被更新，但是如果 expire time 小于 current time，它不会检查任何细节，更新expire time session 并允许用户继续。我这样做是为了防止不断查询数据库以节省带宽。

所以基本上，一旦用户成功登录，他们的用户名和密码将不会再次在数据库中检查，直到他们变得不活动(停留在一个页面上)超过 5 分钟或者他们注销。

忘了提一些东西:过期时间 session 实际上称为 expire_time_unique_characters ($_SESSION['expire_time_'.$unique_nu]) 这意味着邪恶的人还必须找到 $unique_nu 伪造 session 时...

我只是觉得它不太安全。

另外，这个项目是开源的(人们可以看到源代码)，所以这里会带来更高的风险......

你们能给我一些反馈吗？

谢谢

Answer 1

在 session 中存储用户的 ID 就足够了。

不过，您应该实现某种保护措施以防止 session 固定/劫持。