我如何在PHP中修复Session Fixation

Question

如何在PHP / cakephp中修复Session Fixation。我在共享主机上。

EDIT 我在共享主机上，如果我没有php.ini

，我怎么能启用它

Answer 1

• 设置session.use_only_cookies=true。 使用cookie比使用POST / GET参数注入和/或社交工程会话ID更难。
• 设置session.cookie_httponly=true。不是因为会话固定而是会话劫持......无论如何，客户端脚本应该没有充分的理由能够读取会话ID cookie。
• 根据您的需要经常使用session_regenerate_id();每次尝试登录时至少。