首頁 後端開發 PHP問題 php如何實現session的管理

php如何實現session的管理

Sep 27, 2019 pm 01:13 PM
php session

會話模組無法保證你儲存在會話中的資訊只能被創建會話的使用者本身可見。你需要採取額外的手段來保護會話中的機密信息, 至於採取何種方式來保護機密信息, 取決於你在會話中存儲的數據的機密程度。

php如何實現session的管理

session_start — 啟動新會話或重複使用現有會話

嚴格會話管理 #(推薦學習:PHP程式設計從入門到精通

目前,預設情況下,PHP 是以自適應的方式來管理會話的, 這種方式使用起來很靈活,但是同樣也帶來了一定的風險。

從 PHP 5.5.2 開始,新增加了一個設定項: session.use_strict_mode。當啟用這個配置項,並且你所使用的會話存儲處理器支援的話,未經初始化的會話ID 會被拒絕, 並為其生成一個全新的會話,這可以避免攻擊者使用一個已知的會話ID 來進行攻擊。

 例如,攻擊者可以透過郵件傳送一個包含會話 ID 的連結給受害者:http://example.com/page.php?PHPSESSID=123456789。

如果啟用了 session.use_trans_sid 配置項, 那麼受害者將會使用攻擊者所提供的會話 ID 開始一個新的會話。如果啟用了 session.use_strict_mode 選項,就可以降低風險。

Warning

使用者自訂的會話記憶體也可以透過實作會話 ID 驗證來支援嚴格會話模式。建議使用者在實作自己的會話記憶體的時候, 一定要對會話 ID 的合法性進行驗證。

在瀏覽器一側,可以為用來保存會話 ID 的 cookie 設定網域,路徑, 僅允許 HTTP 訪問,必須使用 HTTPS 存取等安全性屬性。如果使用的是 PHP 7.3. 版本,也可以對 cookie 設定 SameSite 屬性。攻擊者可以利用瀏覽器的這些特性來設定永久可用的會話 ID。 

只是設定 session.use_only_cookies 設定項目 無法解決這個問題。而 session.use_strict_mode 配置項目 可以降低這種風險。設定 session.use_strict_mode=On, 來拒絕未經初始化的會話 ID。

Note: 雖然使用session.use_strict_mode 設定項可以降低靈活會話管理方式所帶來的風險, 攻擊者還是透過利用JavaScript 注入等手段, 強制使用者使用由攻擊者創建的並且經過了正常的初始化的會話ID。

 如何降低這種風向,可以參考本手冊的建議部分。如果你已經啟用了session.use_strict_mode 配置項, 同時使用基於時間戳記的會話管理, 並且透過設定session_regenerate_id() 設定項來重新產生會話ID, 那麼,攻擊者產生的會話ID 就可以被刪除掉了。

 當發生對過期會話存取的時候, 你應該保存活躍會話的所有數據, 以備後續分析使用。然後讓使用者退出目前的會話,並且重新登入。防止攻擊者繼續使用「偷」來的會話。

Warning

對過期會話資料的存取並不總是意味著正在遭受攻擊。不穩定的網路狀況,或不正確的會話刪除行為, 都會導致合法的使用者產生存取過期會話資料的情況。

相關專題推薦php session (包含圖文、影片、案例)

以上是php如何實現session的管理的詳細內容。更多資訊請關注PHP中文網其他相關文章!

本網站聲明
本文內容由網友自願投稿,版權歸原作者所有。本站不承擔相應的法律責任。如發現涉嫌抄襲或侵權的內容,請聯絡admin@php.cn

熱AI工具

Undresser.AI Undress

Undresser.AI Undress

人工智慧驅動的應用程序,用於創建逼真的裸體照片

AI Clothes Remover

AI Clothes Remover

用於從照片中去除衣服的線上人工智慧工具。

Undress AI Tool

Undress AI Tool

免費脫衣圖片

Clothoff.io

Clothoff.io

AI脫衣器

Video Face Swap

Video Face Swap

使用我們完全免費的人工智慧換臉工具,輕鬆在任何影片中換臉!

熱工具

記事本++7.3.1

記事本++7.3.1

好用且免費的程式碼編輯器

SublimeText3漢化版

SublimeText3漢化版

中文版,非常好用

禪工作室 13.0.1

禪工作室 13.0.1

強大的PHP整合開發環境

Dreamweaver CS6

Dreamweaver CS6

視覺化網頁開發工具

SublimeText3 Mac版

SublimeText3 Mac版

神級程式碼編輯軟體(SublimeText3)

適用於 Ubuntu 和 Debian 的 PHP 8.4 安裝和升級指南 適用於 Ubuntu 和 Debian 的 PHP 8.4 安裝和升級指南 Dec 24, 2024 pm 04:42 PM

PHP 8.4 帶來了多項新功能、安全性改進和效能改進,同時棄用和刪除了大量功能。 本指南介紹如何在 Ubuntu、Debian 或其衍生版本上安裝 PHP 8.4 或升級到 PHP 8.4

我後悔之前不知道的 7 個 PHP 函數 我後悔之前不知道的 7 個 PHP 函數 Nov 13, 2024 am 09:42 AM

如果您是經驗豐富的PHP 開發人員,您可能會感覺您已經在那裡並且已經完成了。操作

如何設定 Visual Studio Code (VS Code) 進行 PHP 開發 如何設定 Visual Studio Code (VS Code) 進行 PHP 開發 Dec 20, 2024 am 11:31 AM

Visual Studio Code,也稱為 VS Code,是一個免費的原始碼編輯器 - 或整合開發環境 (IDE) - 可用於所有主要作業系統。 VS Code 擁有大量針對多種程式語言的擴展,可以輕鬆編寫

在PHP API中說明JSON Web令牌(JWT)及其用例。 在PHP API中說明JSON Web令牌(JWT)及其用例。 Apr 05, 2025 am 12:04 AM

JWT是一種基於JSON的開放標準,用於在各方之間安全地傳輸信息,主要用於身份驗證和信息交換。 1.JWT由Header、Payload和Signature三部分組成。 2.JWT的工作原理包括生成JWT、驗證JWT和解析Payload三個步驟。 3.在PHP中使用JWT進行身份驗證時,可以生成和驗證JWT,並在高級用法中包含用戶角色和權限信息。 4.常見錯誤包括簽名驗證失敗、令牌過期和Payload過大,調試技巧包括使用調試工具和日誌記錄。 5.性能優化和最佳實踐包括使用合適的簽名算法、合理設置有效期、

php程序在字符串中計數元音 php程序在字符串中計數元音 Feb 07, 2025 pm 12:12 PM

字符串是由字符組成的序列,包括字母、數字和符號。本教程將學習如何使用不同的方法在PHP中計算給定字符串中元音的數量。英語中的元音是a、e、i、o、u,它們可以是大寫或小寫。 什麼是元音? 元音是代表特定語音的字母字符。英語中共有五個元音,包括大寫和小寫: a, e, i, o, u 示例 1 輸入:字符串 = "Tutorialspoint" 輸出:6 解釋 字符串 "Tutorialspoint" 中的元音是 u、o、i、a、o、i。總共有 6 個元

您如何在PHP中解析和處理HTML/XML? 您如何在PHP中解析和處理HTML/XML? Feb 07, 2025 am 11:57 AM

本教程演示瞭如何使用PHP有效地處理XML文檔。 XML(可擴展的標記語言)是一種用於人類可讀性和機器解析的多功能文本標記語言。它通常用於數據存儲

解釋PHP中的晚期靜態綁定(靜態::)。 解釋PHP中的晚期靜態綁定(靜態::)。 Apr 03, 2025 am 12:04 AM

靜態綁定(static::)在PHP中實現晚期靜態綁定(LSB),允許在靜態上下文中引用調用類而非定義類。 1)解析過程在運行時進行,2)在繼承關係中向上查找調用類,3)可能帶來性能開銷。

什麼是PHP魔術方法(__ -construct,__destruct,__call,__get,__ set等)並提供用例? 什麼是PHP魔術方法(__ -construct,__destruct,__call,__get,__ set等)並提供用例? Apr 03, 2025 am 12:03 AM

PHP的魔法方法有哪些? PHP的魔法方法包括:1.\_\_construct,用於初始化對象;2.\_\_destruct,用於清理資源;3.\_\_call,處理不存在的方法調用;4.\_\_get,實現動態屬性訪問;5.\_\_set,實現動態屬性設置。這些方法在特定情況下自動調用,提升代碼的靈活性和效率。

See all articles