php - Codeigniter:将 sess_match_ip 设置为 FALSE 是否仍然安全

Question

我正在处理一个网站，来自某些国家/地区的访问者在使用 codeigniter 缓存系统时遇到问题。缓存在一两个请求后被删除。经过深入调查，我将 sess_match_ip 和 sess_match_useragent 设置为 FALSE，现在一切正常。

将这些配置保留为 FALSE 是否安全？

谢谢

Answer 1

它的安全性稍差，但通常是必需的，尤其是在处理移动设备或代理服务器银行后面的用户时。

为确保您尽可能安全，请务必将数据库用于 session ，并务必设置加密 key 和 sess_encrypt_cookie，以便混淆存储在 cookie 中的少量信息。

您可以做的另一件事是将 sess_time_to_update 的配置值降低到甚至小于其默认值 300 秒的值。万一有人得到一个cooke，然后对其进行逆向工程，如果CI已经制作了一个新的session id，那将毫无用处。

添加于 2017 年 9 月 23 日

对于 Codeigniter 3.x 的发布版本，他们建议使用文件 session 与数据库 session 。如果这样做，请务必在 config.php 中为 session 设置一个不可通过 Web 访问的文件夹。如果您的主机不允许您设置自定义文件夹，我会坚持使用数据库 session 。其余答案仍然适用。