php - 在 PHP 中通过安全连接发送 cookie 的含义是什么

Question

我最近开始密切关注 PHP session ，以加强我网站的安全性。我遇到了 session_set_cookie_params()。我对第四个参数( boolean secure )特别感兴趣。这是否意味着站点必须运行安全的 http ( https ) 协议(protocol)才能将此参数设置为 true？如果不是，PHP 如何通过安全连接为仅使用 http 协议(protocol)的站点发送 cookie？

Answer 1

secure 标志是 cookie 规范的一部分。如果浏览器收到设置了 secure 标志的 cookie，它不会将此 cookie 发送回服务器，除非连接是 HTTPS 加密的。无论当前连接状态如何，PHP 都会设置 cookie，它最终不知道或关心 HTTPS 的存在；您有责任确保您也通过 HTTPS 设置 cookie。

您应该通过 HTTPS 独占 发送身份验证 cookie，以避免被中间人或其他不安全网络(例如共享的未加密星巴克 Wifi)彻底劫持 session 。否则，从空中窃取 secret session 标识符是一种真实的可能性，因此任何人都可以冒充任何人。这意味着在用户登录的整个过程中，它应该通过 HTTPS 与您的服务器通信，因为 cookie 一直在来回移动；仅对初始登录页面使用 HTTPS 是不够的。