正确使用PHP会话

Question

我正在使用PHP和MySQL创建一个Web门户，供用户使用单一登录方法登录和访问各种工具。 其中一些工具包括phpMyAdmin和Piwik。 登陆页面将显示无需单独登录即可使用的所有工具。

该会话称为“门户”。

我有以下文件：index.php-检查是否已登录。 如果登录，则显示带有工具列表的页面。

login.php-提供登录表单，创建会话，并在授权的情况下重定向回index.php

logout.php-提供注销功能以销毁会话。

由于我过去四年没有使用PHP，因此我知道很多变化。

以下是每个页面使用的脚本。

的index.php

<?php
session_start();

if(!isset($_SESSION['user']) || (trim($_SESSION['pass']) == '')) {
header("location: login.php");
exit();
} else }
  // show list of tools (secure area)
}

?>

的login.php

<?php
if (!empty($_POST)) {
  session_set_cookie_params(0, '/', '', 0); // NOT SURE WHAT THIS DOES?
  session_name("Portal");
  session_start();

  // check if credentials match
  ...code...

  // if credentials are ok
  $_SESSION['user'] = $_POST['user'];
  $_SESSION['pass'] = $_POST['pass'];
  session_write_close();
  header('Location: index.php');
} else {
  // show login form
}
?>

logout.php

<?php
session_start();
$_SESSION = array();
if (ini_get("session.use_cookies")) { // !not sure what all this below does!
  $params = session_get_cookie_params();
  setcookie(session_name(), '', time() - 4200,
  $params["path"], $params["domain"], $params["secure"], $params["httponly"]);
}
session_destroy();
header('Location: http://.../index.php');
?>    

如何删除特定的会话，即Portal？ 我在根域上有另一个登录名可以访问报告，但我不想同时访问这两个会话的用户都只能从门户注销。

在我的编码中是否需要更改任何可以改善/增强安全性的内容？

谢谢！

Answer 1

看来您没有任何服务器端验证。 任何用户都可以将他们想要的任何内容插入登录字段，然后访问“安全区域”，这仅仅是因为他们插入登录字段中的任何内容都在会话中。 如果您没有进行任何验证，建议将登录信息放入数据库中，并且当用户登录时，他们必须具有与数据库中的凭据相对应的匹配凭据。

同样，您的index.php页面上的else {}括号指向错误的方向。 这应该给出一个错误。

的index.php

<?php
session_start();

if(!isset($_SESSION['user']) || (trim($_SESSION['pass']) == '')) {
header("location: login.php");
exit();
} else {
  // show list of tools (secure area)
}

?>

Answer 2

好吧，您的代码存在一些问题。

首先，您必须在session_name 之前调用session_start （请参阅手册 ）。

另外， 切勿在会话中放入敏感数据 ！

如session_set_cookie_params的文档所述，您也可以在调用session_start 之前执行此操作：

session_set_cookie_params(3600, '/', '.yourdomain.com', false, true); // Notice the dot before the domain

这将使您可以访问该域中所有应用程序中的会话。

我不知道您如何使用多个应用程序来完成此工作，但是如果它们支持单点登录，则无需在其中输入密码就可以执行此操作。