如何保護Node.js socket.io服務器免於更改Cookie

Question

我已經搜索了3天，如何正確驗證nodejs socket.io服務器中的用戶信息，只有傳遞到服務器的內容是cookie，例如PHPSESSID等（如果需要）。

我的問題是：如果用戶將他的PHPSESSID cookie值更改為其他值（例如，朋友cookie值），然后重新初始化套接字服務器連接，應該發送給我的朋友的所有流量都會改為發送給我。 （用戶到用戶的私人通信）

即使我使用memcached服務器存儲會話，也只有一件事可以驗證用戶身份，即再次驗證會話ID，我應該如何驗證用戶會話？

我無法更改會話存儲位置，因為我正在使用PHP Wave框架。 有替代socket.io的方法，但更安全嗎？

Answer 1

它不是百分百的解決方案，但是您可以使用session_regenerate_id() 。 它將重新生成會話ID而不關閉它。 看到這個線程： PHP的會話修復/劫持