PHP - 在 $_SESSION 超全局中存储任何内容是否安全？

Question

存储例如用户权限(例如

)是否安全

$_SESSION['username']='vputin';
$_SESSION['ip']=$_SERVER['REMOTE_ADDR'];
$_SESSION['canlaunchnuclearstrike']=true;

这是否存在任何安全问题？在每个页面加载时检查这一点是否足够，并基于该重定向到登录页面(并退出；)或继续？

Answer 1

这完全取决于您所说的“安全”是什么意思。不存在“安全”的抽象概念。您只能抵御特定的威胁。 (这称为您的“威胁模型”。)如果您不说出您想要防范什么，就不可能说您的解决方案是否好。当然不能保证僵尸不会在您的网站用户登录您的网站时来吃掉他们!

也就是说， session 变量无法通过 Web 服务器访问，因此它们构成了 Web 应用程序不透明状态的一部分，用户无法直接查看或利用。

另一方面，存在多种允许泄露、窃取或滥用的攻击途径:如果 session cookie 被窃取，其他人就可以接管 session (并可能发射核武器)；这是一种完全常见的星巴克式场景。另一个漏洞存在于服务器本身:如果 session 数据存储在其他用户可读的文件中(例如共享主机上)，则其他人可能会获取 session ID和通过直接从服务器磁盘读取 session 数据。

这一切都取决于!可能最好不要在共享主机上用 PHP 编写核打击管理应用程序...