session_set_cookie_params 安全吗？

Question

我们目前正在使用自定义登录系统，该系统在一个站点的数据库中设置哈希，然后当用户在域和子域之间转移时，它会登录。它并不总是让用户登录，所以他们单击登录链接/按钮，它会将他们带到登录，如果他们有会话，则会加载它，否则会显示登录页面。

我们希望摆脱这种情况并使用更好的东西。使用 php 有 session_set_cookie_params，我们想知道这是否安全？

session_set_cookie_params(3600, "/", ".example.com");

如果这不是跨多个域使用会话的好方法，那么更好的方法是什么？

我们还有一些使用自己的登录系统的子域，其中同一用户在该系统上具有不同的用户名/密码，这/那会是一个问题吗？我们认为两个不同的人可能有相同的会话 ID 将两个不同的人登录到同一个帐户，因为他们管理自己的会话。

Answer 1

这是一种很好的方法，但是您必须考虑，如果您希望在同一会话中涉及的所有域/子域不在同一台服务器上或驻留在不同的应用程序中，则您需要提供一些通用的后端会话存储所有应用程序都可以访问会话数据的机制。

就处理多个登录而言，您可能需要一种逻辑方式将登录链接在一起，以便您可以理解一个登录下的有效会话可以转移到不同域上的另一个登录。这确实是您最大的安全问题，应该可以通过实施单一登录机制来解决。