这个简单的会话管理有多安全？

Question

我想创建一个简单的会话管理脚本，知道您的想法吗？逻辑上正确吗？

我读到如果 https 不可用，那么每次加载时的 session_regenerate_id 可能是一个解决方案，对吧？

if($_SESSION["user"]["logged"] && is_numeric($_SESSION["user"]["id"])){    
    $id = $_SESSION["user"]["id"];  
    $sid = file_get_contents($id);  // read from db the previous key 
    if($sid == $_SESSION["user"]["key"]){  
        echo "<p><a href='?logout'>logout</a></p>";  
        echo "<p><a href='/login.php'>refresh</a></p>";  
        session_destroy();  
        session_start();  
        session_regenerate_id(true);  
        $_SESSION["user"]["logged"] = true;  
        $_SESSION["user"]["id"] = $id;  
        $_SESSION["user"]["key"] = uniqid();  
        file_put_contents($id, $_SESSION["user"]["key"]);  // write to db the new key 

    }  
    else {
        // logout
    }  
}  

提前谢谢你！

Answer 1

我读到如果 https 不可用，那么每次加载时的 session_regenerate_id 可能是一个解决方案，对吧？

解决方案是什么？ SSL/TLS 提供传输级别的安全性，保护您在与用户之间传输的数据。在每个请求上重新生成会话 ID 与传输安全无关。的确，没有人能够在运输途中抓住您的 cookie，但这并不是 somoene 获得此 cookie 的唯一方法。即，如果您的页面容易受到 XSS 攻击，那么稍微借助社会工程的人就可以窃取您的 cookie。

重新生成可以提高端点（用户）的安全性（尽管它是有争议的），因为如果有人会窃取用户会话 ID cookie，但速度不够快，无法向它发出请求，那么用户将无法使用被盗值（这是不太可能他不会那么快）。

所以总的来说，如果您不想这样，您的方案是好的，它不是 SSL/TL 的替代品。并且登录后重新生成应该是必须的，每次请求的重新生成都是一个补充。