php - 为什么 Symfony2 在登录时替换 PHPSESSID？

Question

我的 Symfony2 应用程序在我登录时替换了我的 PHPSESSID cookie。这是预期的行为吗？这对我来说毫无意义……为什么不保留相同的 PHPSESSID？

这里有更多细节。

要登录到我的应用程序，我必须首先向访问我的应用程序的 URL 发出请求:

$ telnet myapp 80
GET / HTTP/1.1
Host: myapp

我被重定向到另一个 URL (/login) 并获得了一个 PHPSESSID cookie。美好的。然后我 POST 到 /login_check 类似 _username=blah&_password=blah 的东西，无论我是否提供正确的凭据，我都会收到一个不同的PHPSESSID cookie。

似乎大多数东西都适用于第一个请求，但我必须发出一些请求(我不能只POST到/login_check并登录)。这是预期的行为吗？

不确定这是否重要，但我正在使用 FOSUserBundle。

我想我应该提一下，在我将我的应用程序放在负载均衡器后面的两个 Web 服务器上并告诉负载均衡器使用基于 PHPSESSID 的粘性之前，这些都不重要。正如您想象的那样，PHPSESSID 替换行为会在客户端碰巧跳转到另一个网络服务器时阻止登录工作。

可能重复:Symfony2: login does not work on first try after clearing cookies

Answer 1

是为了防止session fixation .我会建议使用另一个 cookie，然后使用 session cookie 进行负载平衡。