security - 在会话密钥中存储密码哈希

Question

我遇到了需要在会话密钥中存储散列密码的情况。密码通过 bcrypt 散列。

将散列密码存储在会话密钥中是否安全？

谢谢你。

Answer 1

这取决于会话数据的存储位置以及谁可以访问该存储。

默认情况下，PHP 将会话数据存储在服务器上其他用户可以读取的文件中。因此，如果您在共享服务器上，其他用户很可能也可以访问您的会话文件。由于会话数据基本上只是$_SESSION数组的序列化形式，任何有权访问物理会话文件的人都可以读取和/或写入会话数据。