security - Magento - 用户可以看到其他数据

Question

我们有一个 Magento 商店，有时当用户登录时，它会使用其他人的用户信息进行身份验证。

当用户进入我的帐户时，他们可以看到另一个客户的订单详细信息。

我发现一个论坛说要在会话验证设置下激活验证 HTTP_USER_AGENT 和验证 REMOTE_ADDR 值，但我们仍然看到这个问题。

有人对可能导致此问题的原因有任何想法吗？

提前感谢你的帮助。

乔治

Answer 1

我从来没有真正花时间正确调试这个，但前段时间我们遇到了一个几乎相同的问题。最终它看起来像何时启用System > Configuration > Web > Use SID on Frontend并且您也Magento Enterprise Full Page Cache启用了它有时会保存SID在缓存的模板中。当其他用户单击具有不正确 SID 的链接时，他们就接管了该会话。

禁用 SID 选项后，我们再也没有遇到过问题。也许不是一个真正的答案，但对你来说可能是有价值的信息。