PHP 如何启动安全 session

Question

目前我正在开始一个 session ，如下所示:

if ($hasher->CheckPassword($password, $hash)) { //$hash is the hash retrieved from the DB 
        $what = 'Authentication succeeded';
            $_SESSION['username']=$_POST['username'];
         header('Location: securedpage1.php');
    } else {
        $what = 'Authentication failed';
        echo "Incorrect Password";
        include 'login.php';
        exit();

    }

如您所见，我想知道$_SESSION['username']=$_POST['username'];是否是启动 session 的最佳方式或者是否有更好的做法

感谢您的回复!

Answer 1

您可以使用数据库而不是文件系统作为存储点来滚动自己的 session 处理程序。这具有多个安全优势，例如在共享主机上，存储在文件系统中的 session 数据可能会受到损害。正如我在评论中提到的，您还可以通过这种方式存储“源”IP 地址并将其与 session 绑定(bind)，并使从除原始 IP 之外的 IP 访问的任何 session 无效。

这篇文章解释得很详细:http://shiflett.org/articles/storing-sessions-in-a-database