Cakephp将会话ID保存在cookie中，这是一种安全的方法

Question

CakePhp将会话ID保存在cookie中，通常名为CAKEPHP的cookie包含会话id，并且在任何其他php文件中都可以使用该id启动会话

session_id($_REQUEST['CAKEPHP']);
session_start();

我的问题是这是一种处理会话ID的安全方式，如果可以，那么现在有什么更好的解决方案呢？

Answer 1

会话Cookie仅对生成Cookie /启动会话的同一域有效。

尽管另一个php页面可能会接听该会话，但只有在同一域中提供该cookie时，它才会接收该cookie，在这种情况下，它是您网站的“一部分”。

因此，这应该不是问题，因为（除非您有严重的问题）只有您才能将php文件添加/上传到您的网站。

您应该检查会话数据的保存位置。 app / Config / core.php中的默认“ php”会话设置会将会话数据写入php.ini中配置的会话保存路径。 这可能是“共享”目录，同一服务器上的其他网站可以访问该目录。

为了获得更好的安全性，请将app / config / core.php中的会话配置设置为“ cake”。 这会将会话数据写入到app / tmp / sessions中，该数据只能由您的网站访问。