phpsessid - 是否值得將會話名稱更改為哈希值和訪問者特定值

Question

我想知道出於安全目的，是否值得使用session_name（）函數將默認的phpsessid重命名為散列或加密的id？

如果是這樣，那么實施它的最佳方法是什么？

謝謝，

Answer 1

在網上有很多關於這個的文章，以及我在StackExchange上讀到的以前的問題。 加密你的session_id只會創建另一個與原始隨機數一樣容易劫持的隨機數。

如果你考慮一下，如果加密一個會話，你會將session_id重新分配給新的數字（在這種情況下你什么都沒有），或者你將在你的腳本中使用加密/解密功能。

如果您使用后一種方法，並且某人獲得了另一個用戶加密的會話ID，則您的腳本將對其進行解密，並且仍將授予訪問權限。

簡而言之，在進一步加密session_id以及超出分配的隨機數時，沒有什么實際用途。

Answer 2

將PHPSESSID重命名為另一個名稱，比如MYNEWNAME ，因為任何對PHP知之甚少的人都知道HTTP服務器不維護狀態並且只能使用PHPSESSID跟蹤用戶。 PHPSESSID存儲在客戶端cookie中，因此我認為它不安全。 每當會話被成功劫持時，有人可能會強行執行並執行某些操作（如Facebook狀態帖子）。 更多信息， 請訪問https://codereview.stackexchange.com/questions/75310/protect-from-people-bruteforcing-the-phpsessid