$ _ SESSION

我们启动会话，递增计数器并将其存储在$_SESSION数组中：

<?php
session_start();
if(!isset($_SESSION["pageviews"]))
{
    $_SESSION["pageviews"] = 0;
}
$_SESSION["pageviews"]++;
?>

当用户第一次访问此页面时，PHP将生成一个如下所示的随机会话标识符，并要求浏览器将此ID存储在cookie中：

fh4giqncq25ntgs7gjunvj6i33

在服务器上，它会存储并记住pageviews变量的值1属于会话ID fh4giqncq25ntgs7gjunvj6i33。< / p>

下次用户访问该页面时，他或她的浏览器将发送先前的会话ID以及请求（假设cookie未过期或被删除）。然后，PHP识别此ID，并使用$_SESSION填充pageviews = 1数组，然后将其递增：pageviews = 2

在安全性方面，请考虑以下问题：

用户是否能够读取存储的数据？否 - 客户端看到的唯一内容是cookie中的随机会话ID;数据本身存储在服务器上。

用户是否能够更改或操作存储的数据？同样，没有 - 如果在浏览器中更改了会话ID，PHP将无法再将浏览器与存储的数据联系起来。在最糟糕的情况下，用户将从pageviews = 1开始新的会话。

会话的主要安全风险是会话劫持，此时攻击者以某种方式设法从其他人的浏览器获取会话ID，然后将其呈现给服务器，从而冒充其他用户。在我们的例子中，这没有多大意义，因为我们只存储页面视图计数;但是，大多数网站都使用会话来跟踪哪个用户从哪个浏览器登录。在这种情况下，窃取他人的会话将意味着访问他们的帐户。

隐藏字段

在这种情况下，我们有一个带有隐藏字段的表单：

<form action="..." method="post">
    <input type="hidden" name="pageviews" value="<?php print($pageviews); ?>" />
    ...
</form>

在服务器上，我们从pageviews检索$_POST变量并将其递增：

<?php
$pageviews = @$_POST["pageviews"];
$pageviews++;
?>

因此，我们不是将其存储在服务器上，而是将数据发送到客户端，并期望在后续请求中返回。除了它只适用于 POST 请求之外，让我们看一下此解决方案与安全相关的缺点：

用户是否能够读取存储的数据？是的 - 它直接进入HTML代码中的浏览器。

用户是否能够更改或操作存储的数据？是的 - 没有什么可以阻止用户在他或她的浏览器中打开开发人员工具并将隐藏值更改为他或她喜欢的任何内容。提交表单后，服务器将获取更改的数据。

<input type="hidden">的问题在于您无法信任客户端，因此您必须验证每次请求中获取的数据。在某些情况下执行此操作可能是合理的，例如填写多页表单，但即使这样也可以通过会话更好地解决。

摘要

通过$_SESSION保留数据通常比使用<input type="hidden"> 更安全，因为会话数据存储在服务器上，因此客户端无法篡改。只有随机会话标识符在cookie中发送到浏览器，该cookie将服务器上的数据绑定到该特定浏览器。

使用会话变量而不是隐藏的输入字段更安全吗？

1 个答案:

$ _ SESSION

隐藏字段

摘要