php - 如何使用 session ID 进行身份验证

Question

我只使用 session 变量 $_SESSION['user_id'] 和 $_SESSION['passwd'] 在用户登录时存储一次用户 ID 和密码中。

每次用户移动到新的 php 页面进行身份验证时，我只是用数据库检查这两个变量。其实我不知道 session_id() 。

我不认为我为身份验证所做的是正确的方法。我觉得对于安全问题，session_id 有一些事情要做。

还有一个疑问——当我按照我提到的方式使用 session 变量时，这些 session 变量是否容易被黑客攻击

我该怎么办？

Answer 1

只要不存在其他漏洞，攻击者就无法轻易更改或读取您的 $_SESSION 变量，但出于多种原因，将密码存储在服务器上的时间超过必要时间通常是一种不良做法。

用户登录时检查一次密码就可以了，之后只需要在session中保存认证后的user_id即可。您必须知道 session 属于谁，才能向该特定用户授予必要的权限。但是您确实已经知道用户提交了正确的密码，否则您不会首先在 session 中存储他的 user_id。