security - CodeIgniter session 帮助，cookie 不安全？

Question

我刚刚开始学习 session ，出于我的目的，我想创建一些东西，根据客户端的每个请求，服务器对该用户进行身份验证，然后才为该用户执行数据处理。

但是，我在 CodeIgniter 中看到了很多示例，其中 session 是这样设置的:

$this->load->library('session');

$newdata = array(
               'username'  => 'johndoe',
               'email'     => 'johndoe@some-site.com',
               'logged_in' => TRUE
           );

$this->session->set_userdata($newdata);

但是，难道有人不能在他们的计算机上创建一个具有通用用户名且“logged_in”状态为 true 的 cookie，然后突然间您在没有密码的情况下通过身份验证？这对我来说似乎是一个安全漏洞，但我看到了很多这样的例子。

在每个请求中对用户进行身份验证的正确方法是什么？

Answer 1

在 codgniter 安装的 application/config/config.php 文件中，您可以选择加密 cookie。

$config['sess_cookie_name']  = 'ci_session';
$config['sess_expiration']  = 7200;
$config['sess_encrypt_cookie'] = TRUE;  // set from false to TRUE

一旦设置， set_userdata() 和 userdata() 方法将透明地处理加密和解密 session 数据。

Codiggniter session 配置选项的完整列表位于此页面的底部:

http://codeigniter.com/user_guide/libraries/sessions.html