php - 会话检查表

Question

嗨我有一个与安全相关的问题我允许用户登录和注册我的问题是当用户登录我的脚本时只是设置会话没有 cookie 所以只依赖会话而不是 cookie 是否安全？还是我同时使用 cookie 和会话？

Answer 1

PHP 会话使用 cookie 来跟踪会话的 ID。因此，它是安全的，因为您实际上正在使用 cookie。

值得注意的是，您应该尝试防止会话劫持- 您可以通过验证用户的 IP 以及$_SESSION对象中的其他内容来做到这一点。

编辑

我建议你阅读这个。引用：

session_start() 函数生成一个随机的 Session Id 并将其存储在用户计算机上的 cookie 中（这是唯一实际存储在客户端的会话信息。） cookie 的默认名称是 PHPSESSID，尽管这可以是在服务器上的 PHP 配置文件中进行了更改（但是，大多数托管公司将不理会它。）要在您的 PHP 代码中引用会话 ID，您将因此引用变量 $PHPSESSID（它是一个 cookie 名称；还记得 Cookie 中的那个吗？ )

注意：将其存储在 cookie 中