將分類信息存儲在會話變量中是否安全？

我只是想知道是否安全地保存分類信息，如密碼。如果沒有，那麼潛在的安全問題是什麼？我目前正在開發一個登錄網站。在用戶登錄後即時通訊計劃將有關用戶的所有信息保存到會話變量，所以我不必在數據庫中查詢它每次我想訪問用戶所需的信息多數民衆贊成爲什麼即時通訊問這個問題。將分類信息存儲在會話變量中是否安全？

你至少應該給密碼加鹽或者有某種保護措施，而不是僅僅存儲明文，特別是在敏感的情況下。 – prelic 2012-03-08 03:51:07

是的，但這是一個理智的方法？你必須確保會話，內存和數據庫保持同步。 – max 2012-03-08 04:05:00

投票結束不是一個真正的問題。 – 2012-03-08 10:10:19

「安全」是一個相對詞，但存儲在_SESSION中的信息幾乎與存儲在數據庫中的信息一樣安全。只有合法地駭入你服務器的人才能夠訪問它。

也就是說，會議本身可能並不安全。惡意用戶可能會修復或劫持會話。這並不直接給他們提供_SESSION的內容的信息，但它仍然允許他們充當另一個用戶。你應該採取必要的預防措施..老實說，這不是不使用會話的理由。

一個預防措施是而不是將用戶的密碼存儲在_SESSION。你爲什麼需要這樣做？

只要你不var_dump()_SESSION或大肆顯示會話值，那麼_SESSION是一樣安全的數據庫。不過，您應該將存儲在_SESSION中的信息限制爲您實際需要的信息（不僅僅是安全信息）。

2012-03-08 04:06:49

我想散列密碼。 sha1()或sha256。我不認爲任何人都可以真正從會話中讀取數據，但是如果他們知道得足夠多，他們可以模擬已經登錄並獲得提升權限的人。包含在$_SESSION

2012-03-08 04:08:12 TecBrat

數據通常存儲在文件系統..最常見的位置是的/ tmp/文件夾（也有一些解決方案，當你把它放在高速緩存，NOSQL或SQL）。

因此，默認情況下，數據與您的服務器一樣安全。如果您的服務器遭到入侵，那麼會話數據中的機密信息是您問題最少的部分。

2012-03-08 04:10:20

在會話中存儲密碼毫無意義。
所以，安全或不安全 - 它根本沒有關係（但它並不明顯安全）。只是不要存儲它。

所以我沒有進行查詢數據庫

爲什麼？查詢數據庫有什麼問題？

我要訪問所需的信息

好了，但密碼每一次？它可能需要什麼？

2012-03-08 04:47:18

我有一個表單，它在登錄時加載關於用戶的信息。當我在包含密碼的會話變量中存儲數據庫中的所有信息時登錄。那麼我只是使用會話變量在窗體中回顯它以顯示信息。我知道你在說修辭。我只是解釋了我在做什麼計劃。任何方式歡呼。感謝您的答覆！:) – 2012-03-08 08:11:23

我不是修辭。我不明白你在說什麼。在表單中顯示密碼絕對沒有意義。沒有人這樣做。在表單中顯示用戶信息有什麼意義？你正在做一些奇怪的事情，你最好把你奇怪的設置改爲理智的。 – 2012-03-08 10:09:35

回答