php - 将会话保存路径理解为没有价值和安全性

Question

我只使用会话来存储变量，并希望确保会话保存路径不会被任何用户篡改。于是我去查看我的phpinfo，发现会话保存路径设置为无值。这对于只使用会话作为变量的用户来说是否正常？如果会话保存路径设置为无值，我有什么需要担心的吗？

score 12 · Accepted Answer

该设置的默认值为session.save_path（""空字符串），默认为/tmp.

从“工作”的角度来看，无需担心它被设置为无值（因为这是默认值）；但是，从安全的角度来看，确实存在。

手册中的警告：

如果您将此设置保留为世界可读的目录，例如 /tmp（默认），服务器上的其他用户可能能够通过获取该目录中的文件列表来劫持会话。

score 1 · Accepted Answer

您可以通过以下代码创建/编辑 .htaccess 来设置 save_path：

php_value session.save_path /mnt/stor1-wc1-dfw1/123456/www.domain.com/web/sessions
php_value session.save_handler files

2 回答 2