php - session 期间IP可以改变吗？

Question

session 期间 IP 可以更改吗？

不同的引擎(PHP、Django、Ruby 等)怎么样？

PS:我不太明白什么是“动态IP”以及互联网提供商如何持有它们......以及 session 如何被破坏......

更新:为了安全起见，我应该跟踪 IP 变化吗？我目前正在使用PHP，因此如果内置的 session 系统缺乏安全性，请提供一些代码和算法

Answer 1

IP 可以随时更改 - HTTP 背后的思想是每个请求都是独立的。

全局仅有大约 30 亿个可用的 IPv4 地址。因此，一些 ISP(实际上是大多数)会为每个连接客户端动态分配 IP，这样当该客户端断开连接时，该 IP 就可以重新供其他人使用。

就“ session ”而言 - 这完全取决于状态的举行方式。最明智的方法是使用 cookie - 它允许您从任意 IP、任意介质进行连接 - 此时，您不应该关心 HTTP 的 IP 层。

但是，人们以做一些奇怪的事情而闻名，比如使用 IP 来做他们从来没有想过的事情(在 OSI/IETF 意义上)——比如识别、身份验证等。这更加糟糕，因为一个 IP 可以通常意味着许多客户 - 例如，您的整个家庭可能共享相同的公共(public) IP - 如果您和您的合作伙伴都访问同一个网站怎么办？服务员如何区分你们两个？

@更新

不，您不应该为了“安全”而跟踪 IP 更改 - 唯一的异常(exception)是您可以处理 geoIP 功能，并且想要禁用/惹恼各种匿名服务的用户。

基本上，如果您的用户直接连接(而不是通过代理/TOR)，他们很可能会从附近的位置再次连接。如果您的用户从美国连接一次，从俄罗斯连接一次 - 这可能意味着这是两个不同的人(其中一个人可能窃取了凭据)，或者用户使用了某种匿名程序。

如果该网站是高值(value)目标(银行、金融、中央凭证(例如 Google 帐户)) - 您可以对 IP 进行地理查找并比较距离在一小时内变化是否超过 100 公里两次以上- 这可能很可疑，您可以向用户发出额外的凭据。

否则，您可以显示最后几个 IP - 但这可能只是锦上添花，没有什么实际值(value)。

@update2安全性是一个棘手的话题 - 无论何时处理它，您都需要回答两个基本问题:

内容的安全性:什么东西如此宝贵，需要保护

• 用户隐私
• 授予用户的权限
• Assets (物理或虚拟)

以及针对什么的安全性:您关心的攻击场景是什么

• Cookie 劫持 (firesheep)(只需使用 SSL 即可完成大部分操作 - 无法解决 HTTP 未加密且通常通过公共(public) radio 传输的问题)
• 接管帐户(真正敏感的内容需要额外的凭据)
• 污损？