Session PHP 生成的用户标识操作

Question

假设客户端成功登录并且服务器（ Apache / PHP ）创建了一个 session，其中存储了用户标识：

$_SESSION['userid'] = $UseridFromTheDB

这条线到底是什么？

1. 将用户标识存储在服务器端 memory
2. 将用户标识存储在客户端 cookie 上
3. 1. 和 2.

我认为 3. 是正确的，因为我没有使用任何其他代码在服务器上制作 session 并在客户端制作 cookie。 所以正如我所说的，我必须做的就是使用 $_SESSION 全局变量，这将为我带来魔力。 它会将 session 变量存储在服务器端的 memory 中，并使 Set-Cookie 为 header，因此用户 ID 将作为 cookie 存储在客户端。

所以我的问题是，如果我在客户端修改用户标识怎么办？ 例如，如果我看到 100 作为 userID，我将其修改为 101，那么下一个请求将使用 userID 101 发出，对吗？ 服务器会给我内容，属于101 userID？

Answer 1

它将 session 存储在服务器端 memory 和客户端 cookie 中。

没有。默认情况下，session 信息（例如所有变量）仅存储在服务器上的一个文件中。 cookie 称为PHPSESSID ，它只是指向服务器上其中一个文件的唯一 ID。 可以通过更改 PHP 运行时配置中的session.name选项来更改此 cookie 的名称，因此每个网站可能有不同的名称。

默认情况下，这些文件存储在服务器的tmp/目录中。 除非您有权访问存储这些文件的文件夹（一个巨大的安全漏洞），否则无法访问它们。

当我创建一个包含以下内容的 PHP 文件时：

<?php

session_start();

$_SESSION['userid'] = 1;
$_SESSION['username'] = 'user1';

它在我的浏览器中创建了一个 cookie，名称为： PHPSESSID ，内容为：

11j9etj85pfnq36h15qb9mu60v

这对应于我的 XAMPP 安装的tmp/文件夹中名为sess_11j9etj85pfnq36h15qb9mu60v的文件。 该文件包含以下内容，如您所见，其中包含$_SESSION全局变量。

userid|i:1;username|s:5:"user1";

如果我在客户端修改用户标识怎么办？

如何？ 除非该网站存在允许您执行 PHP 代码的重大安全漏洞，或者做一些荒谬的事情，例如根据表单输入设置$_SESSION['userid'] ，否则您无法修改它。

您可以将 session ID 从一个浏览器的 cookies 复制到另一个浏览器，但这是另一个问题，与 session 安全性无关。 如果网站检查连接的用户代理和 IP 地址并在它们与 session 最初启动的信息不匹配时将您注销，它甚至可能无法工作。

例如，如果我看到 100 作为 userID，我将其修改为 101，那么下一个请求将使用 userID 101 发出，对吗？

不，因为 session 不是基于其中的变量。 您需要正确猜测PHPSESSID才能劫持另一个用户的 session。同样，除非该网站存在重大安全漏洞，否则您无法更改$_SESSION超全局变量。 大多数有点现代的 web 框架，如 Laravel 加密 session cookie 并使长度比默认长度更长，从而更不可能猜到一个。