正在使用會話var作爲安全令牌在PHP好嗎？

Question

我想在用戶編輯數據庫內容時添加某種類型的安全令牌。 我想檢查用戶是否有編輯權限，一旦建立，我希望在用戶瀏覽編輯頁面時跟隨用戶。我的想法是設置一個會話變量，然後繼續引用該會話變量。但我的直覺告訴我，這個想法可能有些問題。 我想我可以繼續請求每個頁面上的數據庫信息。

Answer 1

是的，這很好。雖然您需要注意：

• 使用TLS/SSL使用HTTPS加密會話標識符。
• 設置會話cookie上的安全標誌，以便它永遠不會通過普通HTTP泄漏。
• 使用HSTS以確保用戶只能通過HTTPS連接到您的站點。
• 在登錄/註銷時刷新會話令牌以防止會話固定。
• 不要在URL中傳輸會話標識符，因爲它很容易通過referer標頭，歷史記錄和代理/服務器日誌泄漏。

查看OWASP Session Management Cheat Sheet的更多文章。