Session_start 安全性

Question

我正在开发一个登录系统，一旦用户登录，它就会为用户创建一个会话。我正在尝试使系统尽可能安全。我发现一些资源声称session_start() 本身是不安全的，并建议采取额外措施来保护它。请参阅：How to create bulletproof sessions 和 Secure login system with PHP and MySQL。我玩过 WireShark，发现当我使用 HTTP 连接时找到登录凭据（通过 POST 发送）和 cookie 是多么容易。我让网站自动重定向到 HTTPS，现在我找不到凭据（旁注：“加密握手”是什么意思？）。我看到了this 的帖子，上面写着

没有安全 cookie 之类的东西，除非它仅通过 SSL 传输。

所以这让我认为使用 HTTPS 就足以实现安全的登录系统。使用session_start() 并且只有在我使用HTTPS 连接后才安全，还是需要添加进一步的安全措施？

Answer 1

HTTPS 和 session_start() 解决了两个不同的问题。 HTTPS 防止middle man attacks 的概率。会话在哪里管理哪个用户有凭据可以做什么（以及什么用户）。在破解 PHP 会话时，通常是通过蛮力或通过浏览器导出或通过受感染的计算机来完成的。 PHP 是一个开源项目，这意味着任何人都可以查看他们在创建会话时使用的算法。黑客使用它来排除所有不必要的检查可能性并根据会话入侵某人。创建自己的网站会使您的网站更难被黑客入侵（假设您的 id 足够长等等）话虽如此，除非我正在编写银行网站，否则我不会打扰。