保護會話登錄

Question

我已閱讀了很多關於保護會話的教程。 Allot公司的人都在談論使用此：

$_SERVER['REMOTE_ADDR'] 

但我不想因爲有人使用代理服務器來使用它。 我有一個問題關於

$_SERVER['HTTP_USER_AGENT'] 

我讀的人有這個問題，在IE瀏覽器，所以我不知道我是否應該用這個。 如果我只是這樣做，這還不夠嗎？

$ID = $user['ID']; 
$Salt = mcrypt_create_iv(32, MCRYPT_DEV_RANDOM); 
$_SESSION['ID'] = hash('sha256', $ID . $Salt); 

我會存放鹽在數據庫中，當用戶註銷或沒有10分鐘做任何刪除。 然後在每一頁我會運行一個函數，檢查用戶是否使用正確的ID。 這會好嗎還是你推薦別的？

Answer 1

您不能依賴任何發送的HTTP標頭。

瀏覽器可能發送HTTP_USER_AGENT中的任何內容。
REMOTE_ADDR會給你（可靠的）來自發件人的IP地址（儘管這可能是一個代理）。

我想說你的方法應該足夠強大的正常情況下（這將是很難猜測一個正確的會話ID）。