我應該依賴會話嗎？

Question

我正在創建一個社交/博客平臺，並將他們的用戶ID存儲在一個會話中，以便我將該會話中的ID回顯到頁面上。

一個人是否可以編輯會話以識別另一個用戶？

感謝

Answer 1

這取決於你的設置使用$_SESSION變量的方法 - check this related question了一點澄清。

Answer 2

如果您不允許他這樣做，用戶將無法編輯您的會話變量。

他可以偷其他用戶

注意register_globals指令爲php.ini中

Answer 3

的會議僅僅是一個標識符的cookie SESSID。

當我訪問您的網站，你的Web服務器將創建爲我標識符XA7i9（只是一個例子），該瀏覽器將存儲作爲會話Cookie的會話。現在，我的瀏覽器將發送每個請求XA7i9。當你在$_SESSION裏儲存東西時，它永遠不會離開你的服務器。

但是，如果我篡改會話cookie，並能猜到你的會話標識符，說b8a76，你的網絡服務器可能會認爲我就是你。這取決於你的實現。

這question on Stackoverflow可能是你的興趣。

Answer 4

用戶可以攔截其他用戶的會話cookie值，改變自己的cookie到該用戶的，並接管他們的會話。防止這種情況的唯一方法是在您的頁面上使用SSL。這與Facebook使用戶去年選擇「始終使用HTTPS」選項的原因相同。