PHP會話創建者ID

Question

在PHP中使用內置會話創建器安全嗎？我的擔心是有人可以在另一臺人機上劫持令牌cookie，並將它們設置爲完全相同，因此欺騙服務器使其認爲它們是同一個人。

是否有保護（例如IP檢查）來阻止此問題，還是應該使用更安全的方法？

Answer 1

PHP不執行任何IP檢查，原因很簡單，它不會100％的時間工作。

所以是的，你可以劫持一個會話。如果你想提高安全性，你需要在其上構建機制。有些指針請看http://phpsec.org/projects/guide/4.html。

Answer 2

是的，理論上可以劫持另一個人機器上的令牌cookie，但事實上，世界上的每個站點都使用它。包括Stackoverflow。如果您劫持我的cookie，您可以登錄到我的帳戶。所以呢？