session_set_cookie_params安全吗？

Question

我们目前正在使用一种自定义登录系统，该系统在一个站点上的数据库中设置哈希值，然后当用户在域和子域之间转移时，将它们登录。它并不总是登录用户，因此他们单击登录链接/按钮，它将带他们进入登录，如果他们有一个会话，它将加载它，否则将显示登录页面。

我们想摆脱它，并使用更好的东西。 使用php有session_set_cookie_params ，我们想知道这是否安全吗？

session_set_cookie_params(3600, "/", ".example.com");

如果这不是跨多个域使用会话的好方法，那么哪个更好？

我们还有一些子域使用他们自己的登录系统，其中同一用户在该系统上具有不同的用户名/密码，这是否会带来问题？ 我们认为，两个不同的人可能具有相同的会话ID，因为他们管理自己的会话，因此会将两个不同的人登录到同一帐户。

Answer 1

这是一种很好的方法，但是您必须考虑，如果要包含在同一会话中的所有域/子域不在同一服务器上或不在不同的应用程序中，则需要提供一些通用的后端会话存储机制，应用程序可以访问会话数据。

至于处理多个登录，您可能需要一种逻辑方法将登录链接在一起，以便您可以理解一个登录下的有效会话可以转移到另一个域上的另一个登录。 这确实是您最大的安全问题，应该通过实施单一登录机制来解决。