用戶可以訪問$ _SESSION變量嗎？

我爲受密碼保護的頁面創建了用戶認證腳本。

在我的劇本的第一個版本，我開始通過檢查用戶名和密碼匹配在數據庫中的人，如果是，設置了$ _SESSION [「user_connected」]變量以及一個$ _COOKIE ['user_connected ']變量爲TRUE。我的index.php文件通過驗證是否已設置$ _COOKIE ['user_connected']開始，然後繞過數據庫檢查是否爲true。

然後我意識到cookie可以被用戶訪問，並且有人可以簡單地將$ _COOKIE ['user_connected']設置爲TRUE，然後訪問該站點並隨之產生混亂。但是，$ _SESSION變量呢？如果用戶連接，我可以安全地使用它們檢查整個網站嗎？

tl; dr：用戶是否可以修改$ _SESSION變量？

來源

2012-06-12 Lukmo

可能重複[是否有可能由黑客編輯$ _SESSION？]（http://stackoverflow.com/questions/1976821/is-it-possible-to-edit-session-by-hacker） – ThiefMaster

號碼

它們存儲在服務器上，只能由運行在服務器上的腳本進行編輯。

用戶只能獲取標識哪個數據包與其關聯的令牌。

來源

2012-06-12 07:56:34 Quentin

+1 – Sarfraz

可能重複：Is it possible for a malicious user to edit $_SESSION?

$_SESSION是服務器端，一旦設定，不能改變（由用戶）

而且，看看這個question

來源

2012-06-12 07:56:25 Bono

謝謝，我試圖用「是$ _SESSION可訪問/修改/更改」進行搜索，但我錯過了「編輯」一詞。最後一行爲 – Lukmo

用戶可以訪問$ _SESSION變量嗎？

回答

相關問題