黑客可以设置PHP会话变量吗？

Question

我设置的安全检查的一部分是随机生成一个整数，作为安全令牌存储为$_SESSION变量。 这可以通过特定的脚本进行验证，并根据是否通过验证将布尔值设置为true或false（如果通过了其他检查，则允许输入该站点）。 黑客有可能以某种方式设置此会话变量吗？ 如果是这样，怎么办？

Answer 1

仅在您像Joomla那样允许它们时才这样做 （另请参见： CVE-2015-8562的文章 ）。

如果您的应用程序不让攻击者控制$_SESSION超全局变量的内容，那么他​​们就完全无法控制它们。 开箱即用，这不可能发生。

攻击者可以其他方式控制$_SESSION的内容：

• 您将会话数据存储在数据库驱动程序中，并且无法通过TLS或SSH连接到它。
• 您将会话数据序列化并将其存储在cookie中，然后无法正确实现加密安全的消息身份验证。

但总的来说，没有。