php - 我应该采取哪些步骤来安全地管理和验证所有 PHP 页面上的 session ？

Question

我目前使用 PHP session (不保存数据库)来识别小型网站上的用户。然而，我想通过将 session 数据保存到 MySQL 数据库并在 PHP 中使用 cookie 来使其更安全。

我正在考虑编写一个 PHP 脚本，将其包含在每个页面上，该脚本将:

• 尝试根据数据库条目验证 session
• 根据需要创建 session
• 设置我可能需要的特殊 session 变量

这是处理事情的最佳方式吗？我的脚本中是否遗漏了任何内容？

Answer 1

session 自动尝试使用 cookie 作为 session ID。

常见的做法是在登录时将所有重要内容存储到 $_SESSION 中(并且仅检查权限更改)。

如果您想让它更安全，您可以将 $_SERVER['REMOTE_ADDR'] 和 $_SERVER['USER_AGENT'] 存储到 session 中，并在每个 session 中检查它们请求。

我现在能想到的最后一件事就是手动检查“ session 的生命周期”。

无论如何，我认为使用 https 而不是 http 会比重新发明 session 带来更多的安全性。

仅当您需要对并行请求进行特殊处理时，将每个请求/ session 存储到数据库中才有意义。