Cookie會話和安全

Question

我有一個網絡應用程序，用戶登錄後，他/她的cookie設置爲由setcookie()設置的用戶名。

請提出更好的安全方法。

Answer 1

使用PHP會話而不是cookie。會話變量是服務器端的。 PHP將自動處理會話管理。如果你想要更多的控制，你也可以重載它的功能。

http://php.net/manual/en/intro.session.php

session_start(); 

$_SESSION['user'] = 'michael' 

使用PHP的會話，只有會話標識符存儲在瀏覽器Cookie。您可以將任何信息存儲在超全局變量$_SESSION中，並且瀏覽器將無法查看或篡改這些變量。

爲了更加安全，您應該存儲用於登錄的遠程地址，並在每次頁面加載時進行比較。這是爲了確保沒有人劫持會話ID並假裝從另一個位置登錄。

session_start(); 

if (_logging_in__) { 
    $_SESSION['user'] = 'michael' 
    $_SESSION['ip'] = $_SERVER['REMOTE_ADDR']; 
} 

要查看用戶是否登錄。

session_start(); 

if (isset($_SESSION['user'])) { 
    // the user is logged in 
    if ($_SERVER['REMOTE_ADDR'] != $_SESSION['ip']) { 
     // the session id was hijacked so log out 
     session_destroy(); 
     exit; 
    } 
}