php - 这是 ajax 驱动的应用程序的安全身份验证系统吗？

Question

我提前道歉，因为我既不擅长解释事情，也不擅长流程图。这不是特定的代码问题，而是关于会话安全的一般问题。

我试图一次消除尽可能多的潜在问题。我认为这可以解决：

• CSRF
• 会话固定
• 会话预测
• Cookie 盗窃（通过浏览器漏洞）
• 会话劫持

我意识到如果攻击者的 IP 和用户代理标头与经过身份验证的用户相同，会话仍然可以被劫持。我想要做到防弹，你需要 SSL 吗？

如果你能用下面的 clusterfuck 弄清楚我想说什么，我将不胜感激。这或多或少是我正在做的事情：

编辑 - 我有另一个问题：假设用户不会有一个频繁更改的 IP 地址导致这成为一个问题，这是否安全？

Answer 1

这看起来不错，尽管您需要弄清楚如何处理应该返回会话已过期的 JSON 或 XML 的 AJAX 请求。

不，假设 IP 地址保持不变是不安全的。虽然几乎死了，但 AOL 在这方面臭名昭著，他们会使用 20-30 个代理服务器来查询您的 HTTP 服务器以获取单个拨号客户端。

SSL 是必须的，而且证书现在非常便宜 - 这应该可以缓解所有担忧。“中间人”攻击。