我知道传统上不以这种方式使用 SO（或者可能是这样），但我一直在学习 webapp 安全性，并且认为从 SO 专家那里听到他们对这篇文章的看法会很好并令人鼓舞（我是现在阅读它，它是关于会话安全的）。
http://carsonified.com/blog/dev/how-to-create-bulletproof-sessions/
也许我们可以进行某种讨论，指出作者错误陈述/忘记的内容以及有哪些更好的做法？
例如，当涉及到 sql 注入等不同的安全主题时，许多人推荐 mysql_real_escape_strings 之类的东西，但专家会告诉你，没有什么比准备好的语句更好的了。从评论来看，这篇文章似乎有问题，所以我想知道他的内容到底是好是坏。
我认为这篇文章非常好，但是这些只是基本概念，如果有人认真尝试制作一个严肃的安全意识应用程序，这样的事情将会得到解决。也就是说，文章的水平很低。
像中间人攻击这样的问题在这里没有解决（尽管我可以想象这样的事情通常超出了应用层的范围）。另一个可能的漏洞可能是随机数生成。因此，根据会话密钥生成的实现，会话密钥的熵可能会比最大可能熵低得多，这可能会或可能不会使暴力攻击可行。
因此，这实际上取决于您对解决方案的安全要求，没有单一的安全解决方案适用于所有情况。要应用后者，假设您有一个有效的会话 ID，并且您知道会话绑定到哪个 IP。还假设此示例中的目标是一家银行。现在我可以执行将钱转入我的帐户的请求，并通过欺骗我的 IP 地址并提供被盗会话来完成这项工作。好吧，由于IP地址被欺骗，我的请求的回复永远不会到达，但是谁在乎，自从服务器接受了我的请求后，我得到了钱。
关键是，根据上下文，您的安全要求以及您的安全解决方案可能会有很大差异。