为什么随机重新生成会话ID？

Question

这是好习惯吗？ 我以前从未见过它完成，但到目前为止效果很好。

if(mt_rand(1, 10) == 1) {     # regenerate "randomly" on 10% of requests
    session_regenerate_id();
}

谢谢。 :)

Answer 1

我认为，出于适当的原因或上下文，您将重新生成会话ID，您应该每次都这样做，而不仅是有时是随机的（在您的情况下为10％）。 我不认为每次都这样做是不好的做法（如果我错了，请纠正我，我很好奇为什么）。 如果有人入侵了一个会话，则重新生成ID将导致“黑客”失去他们被入侵的会话。 如果您仅在10％的时间内重新生成ID，则他们仍有90％的机会仍会保持其被黑客入侵的会话。 没有贝诺