php - 通过 url 传递 session ID

Question

我正在尝试让我的脚本使用 url session ID 而不是 cookie。下面的页面没有选择 url 中的变量作为 session ID。我一定是遗漏了什么。

第一页http://www.website.com/start.php

ini_set("session.use_cookies",0);
ini_set("session.use_trans_sid",1);
session_start();
$session_id = session_id();
header("location: target.php?session_id=". $session_id );

下一页 - http://www.website.com/target.php?session_id=rj3ids98dhpa0mcf3jc89mq1t0

ini_set("session.use_cookies",0);
ini_set("session.use_trans_sid",1);
print_r($_SESSION);
print(session_id())

结果是一个不同的 session ID， session 是空白的。

数组([调试] => 无)pt1t38347bs6jc9ruv2ecpv7o2

Answer 1

使用 url 传递 session ID 时要小心，这可能会导致通过 referer 的 session 劫持!