对于登录系统，PHP会话是否安全？

Question

我执行查询以查看用户名和密码是否匹配。之后，我将用户名存储在会话变量中。该值是重定向到管理页面后的用户名。

每次进入管理页面时，都会查找该会话变量。如果不存在，它会将我重定向到登录页面。

这是否是一种安全的使用方法？

Answer 1

它根本不安全，因为如果你不散列ID，任何人都可以伪造一个会话作为另一个用户。

以下是登录系统的一个很好的例子：

How secure is my PHP login system?

Answer 2

一般的想法是适当的（imho，初学者）。

但是使用布尔值更安全，比如loggedin = yes / no。这会隐藏用户名，实际上会话变量中的信息可能会被盗。

BTW：您无法通过会话实现完全的安全性，您需要以正确的方式实现和封装以获得更高的安全性（没有什么是完全安全的）。更多的知识来自更多的实践。坚持下去。