php - 在 url 中显示 session ID 是一种好习惯吗？

Question

我使用的是 PHP 4+，我在 osCommerce 的一个项目中工作，我遇到了 url 中的 session ID，所以我只需要知道，在 url 上显示 session id 是一个好习惯吗？如果是，那为什么？如果没有，那为什么？以及如何在 url 中隐藏 session ID 并在 url 中使用任何替代字符串？

Answer 1

没有必要在其中放置替代字符串 - 关键是，如果您使用的是 URL 驱动而非 cookie 驱动的 session 跟踪，则 URL 中的内容必须标识 session 。无论是实际的 session ID 还是它可以从中派生的东西，都不在此处或那里 - 您不会通过混淆使事情变得更安全。

这是否是一个好主意部分取决于围绕它增加的安全性。如果您可以将 session 嵌入的 URL 从一台机器获取到另一台机器，并且就像同一用户在同一 session 中一样继续操作，那么不，事实并非如此。但是您需要更多地了解这一切背后的网站才能回答这个问题。