会话劫持和PHP

读取OWASP A3-Broken Authentication and Session Management . 同时阅读有关OWASP的信息 A5-CSRF ,这有时被称为“会话骑马”。

您应该在php头文件中使用以下代码:

ini_set('session.cookie_secure',1);
ini_set('session.cookie_httponly',1);
ini_set('session.use_only_cookies',1);
session_start();

此代码防止 session fixation . 它还有助于防止xss访问 document.cookie Session Hijacking 可能发生。强制只使用HTTPS的cookies是解决OWASP的一个好方法 A9-Insufficient Transport Layer Protection . 这种使用HTTPS的方式有时被称为“安全cookies”,这是一个可怕的名字。阿尔索 STS 是一个非常酷的安全特性,但并不是所有浏览器都支持它。

我发现的最佳实践是将会话数据保存到数据库或文本文件中。

例如,如何将会话保存在数据库中,您可以看到codeigntier会话库的实现。在我看来,这种方式相当节省,以防止有人去hijact会议。