Question

我正在使用会话cookie在Wordpress中使用以下代码显示从一页到另一页的类别ID：

<?php if(is_product_category()) {
    session_start();
    $cat_obj = $wp_query->get_queried_object();
    $thiscat_id = $cat_obj->term_id;
    $_SESSION['category'] = $thiscat_id;
} ?>

<?php if(is_product()) {
    session_start();
}
?>

<div <?php if(is_product()) { ?> data-cat="<?php echo $_SESSION['category']; ?>" <?php } ?> id="content" class="site-content">

但是，在阅读了Sessions之后，我发现如果操作不正确，它们可能会带来安全风险。

我只是想知道上面的代码是否存在任何可能影响安全性的缺陷？

Answer 1

根据评论，只有它无法保护具有一定价值的资产才是安全隐患-资产的价值在您的问题中并不清楚。例如，如果您有一个允许您在站点上执行管理员操作的“类别”，则可能会有风险。

是的，会话周围存在很大的安全问题-但大多数与您的PHP代码无关，而与PHP和网络服务器配置无关：

和

会话ID
除非通过HTTPS 访问该网站，并且会话cookie具有安全标志，否则它会劫持会话很简单
空会话必须触发新的会话ID和默认会话状态
会话cookie应该只通过httponly
在共享主机上，应使用持久保存在主机上的密钥 not 加密会话数据
会话数据永远不应该被最终用户访问
会话ID不可预测

PHP会话cookie-安全性问题

1 个答案: