共享主机平台中的会话变量是否安全？答案

【问题标题】：Are Session Variables secured in shared hosting platform?共享主机平台中的会话变量是否安全？
【发布时间】：2023-03-06 08:05:01
【问题描述】：

有问题，寻求专家意见

如果网站是通过共享平台向托管公司注册的，那么该网站的会话变量是否会被在同一共享平台上工作的其他人入侵？

谢谢。

【问题讨论】：

标签： php session

【解决方案1】：

我想说共享主机在这方面不太安全，因为我个人见过几个共享主机，每个人都可以查看存储会话文件的临时文件夹。由于 php 默认规定，文件名等于会话 ID，这意味着我可以从那里轻松转到相应的站点，将文件名放入 cookie 中，从而劫持会话。

正如其他答案和 cmets 中所述，有能力的主机可以通过适当的管理和沙盒来避免这种情况。调查你的。

还有其他的会话存储方法，例如通过数据库。人们还可以经常重新生成会话 ID，以减少任何潜在劫持的窗口。请查看http://php.net/manual/en/session.security.php 和http://php.net/manual/en/class.sessionhandler.php 了解更多详情。

尽管如此，您最好还是完全避免会话变量中的敏感数据。

【讨论】：

如果站点所有者没有在自己的帐户下指定会话存储目录，则不是主机故障
如果此目录与他人共享。
感谢 Dellkan，您的帖子在这方面提供了非常有用的信息。
@Dagon 是的，实际上是这样。有一种合理的默认值。大多数人不知道是什么以及为什么。对于没有想到更改会话存储目录的任何人，主机不应该有一个巨大的安全漏洞。尤其是在会话方面，即使知道文件名就足够了。
如果你不知道自己在做什么，就不应该部署\开发网站

【解决方案2】：

首先你应该问自己：你信任谁？存在会话（除了在请求之间共享数据）以使开发人员能够存储和控制用户无法访问的数据。这就是问题所在，这可以通过会话来解决。

如果您处于共享环境中，其他进程和用户可能会访问您存储的信息并对其进行更改，但是 - 这是一个很大的问题 - 他们也有可能访问您的数据库和您的代码。因此，对于来自系统内部的恶意攻击者，没有什么可以真正帮助您。

唯一有帮助的是主管部门。在共享环境中，对服务器上运行的每个应用程序进行沙箱处理至关重要。他们必须在每个用户群上设置session_save_path，就像他们应该对其他所有内容一样。

【讨论】：