如何保护 PHP 中的用户登录

Question

所以我的数据库带有标准用户名和散列密码（ password_hash ）。

我的网站上有一个登录表单，用户在其中输入他们的详细信息，然后基于此创建 session。

<?php
    session_start();

    //if the username and password is valid 
    if(validLogin){
        $_SESSION['account'] = $username;
    }

    //$_SESSION['account'] is used from now on for backend user activities

?>

如果凭据正确，则会创建指向用户名的account session变量。

我已将Session 的长度增加到 1 个月（因为用户抱怨他们之前一直被注销）

我能做些什么来增加这里的安全性？

如果我将 go 放入开发工具，则只有一个名为PHPSESSID的 cookie，它包含 26 个字符的值。

但是，任何人都可以将该值复制并粘贴到他们自己的浏览器中并劫持某人的帐户——如果他们有该值的话。

我不知道该怎么做，很迷茫。

我怎样才能提高这里的安全性？ 除了每 24 分钟注销一次用户

Answer 1

首先，session（最初）的概念暗示：

session 在您打开应用程序时开始，只要您处理它就会持续，并在您关闭应用程序时结束。

由于应用程序的性质发生了变化，并且出于方便的原因，这种基本模式已经被扩展，会话保持活动的时间更长，即使用户没有积极地使用它。 但是，如果安全是您的主要关注点，请使用更严格的方法，即更短的到期时间和强制注销。

其次，发明了 PHP 会话来解决困扰常规浏览器 cookies 的许多问题（以文本形式存储在客户端，限制为 4KB，相当可访问，与每个请求一起发送，因此使 Z293C9EA246FF99885DC6ZF6 请求膨胀） PHP session 只向浏览器发送一个散列 ID，并将所有数据存储在服务器上。 如果攻击者拥有客户端安全确实受到损害。 但是，如果您无法控制客户端设备的安全性，这可能无法控制。 安全性是一个多层概念，意味着不同程度的信任。

此答案提供了有关 PHP session 安全性的更多上下文，并提供了一些有用的安全性建议。 However, I have one additional recommendation: If you do not need to work with the PHP session id in your client code (ie JavaScript) disable session.cookie-httponly in your php.ini (or alike).
如果这一切还不够“好”，您将需要实施更安全的协议，使用多因素身份验证等。 一般来说，session id 可能是您最不关心的； 拥有正确配置的 web 服务器并遵循最佳实践更为重要。