php - $_SESSION 数组的安全性

Question

当低权限的非管理员用户成功登录到我的网络应用程序时，我将以下数据存储在 $_SESSION 数组中:

$_SESSION = array(
    'user_id'     => 2343,  // whatever their user_id number is from the DB
    'allow_admin' => false, // don't give them access to admin tools
    'allow_edit'  => false, // don't let them edit stuff
    );

除了以某种方式编辑 /tmp 中的 session 文件之外，他们是否有任何方法可以操纵 $_SESSION 数组以授予他们管理员或编辑权限？ (以上代码是将这些项目添加到 $_SESSION 的唯一地方)

Answer 1

session 的内容只能在服务器端可见和修改。

如果您的应用程序或服务器包含某些漏洞，它们只能以“未经授权”的方式进行修改。

您还应该注意诸如 session fixation attacks 之类的事情，其中攻击者将特定 session ID 强加给毫无戒心的用户，该用户在登录时提升该 session 的权限，从而允许攻击者共享该 session 。

缓解这些问题的一种方法是 regenerate the session id每当您更改 session 的权限级别时。

另见这个问题:

• PHP Session Security