在 url 中显示会话 ID 是一个好习惯吗？
我正在使用 PHP 4+，我正在 osCommerce 的一个项目中工作，我在 url 中遇到了会话 id，所以我只需要知道，在 url 上显示会话 id 是一个好习惯吗？如果是的话为什么？如果没有那么为什么？我如何隐藏 url 中的会话 ID 并使用 url 中的任何替代字符串？
I am using PHP 4+ and I am working in a project of osCommerce, where I encounter with the session id in the url, so i just need to know, is it a good practice display the session id on the url? if yes then why? and if no then why? and how can i hide the session id in url and use any substitute string there in url?
如果你对这篇内容有疑问，欢迎到本站社区发帖提问 参与讨论，获取更多帮助，或者扫码二维码加入 Web 技术交流群。
绑定邮箱获取回复消息
由于您还没有绑定你的真实邮箱，如果其他用户或者作者回复了您的评论，将不能在第一时间通知您！
发布评论
评论（2）
在那里放置替代字符串是没有意义的 - 重点是，如果您使用 URL 驱动而不是 cookie 驱动的会话跟踪，则 URL 中的内容必须标识会话。无论是实际的会话 ID 还是可以从中派生出的内容，都不存在 - 您不会通过混淆来使事情变得更加安全。
这是否是一个好主意部分取决于它周围增加的安全性。如果您可以将会话嵌入的 URL 从一台计算机传输到另一台计算机，并且就像同一用户在同一会话中一样进行操作，那么不，事实并非如此。但您需要更多地了解其背后的网站才能回答这个问题。
There's no point putting a substitute string in there - the point is, that if you are using URL-driven rather than cookie-driven session tracking, what is in the URL must identify the session. Whether it's the actual session ID or something that it can be derived from is neither here nor there - you're not making things any more secure by obfuscating.
Whether it's a good idea depends partly on the added security around it. If you can take a session-embedded URL from one machine to another and just carry on as if the same user in the same session, then no, it isn't. But you need to know more about the site behind it all to answer the question.
当 cookie 不被广泛支持/启用时，会使用 URL 会话 ID。我认为今天没有任何理由使用它们。它们看起来很丑陋，对用户不友好（您不能只输入 URL 并期望登录），而且它们存在安全风险，因为（尽管它们本身不一定容易受到攻击）它们使会话劫持漏洞更容易被利用开发。
URL session IDs were used when cookies were not supported/enabled widely. I don't think there is any justification to use them today. They look ugly, they are user-unfriendly (you can't just type in the URL and expect to be logged in), and they are security risks as (though they are not necessarily vulnerable themselves) they make session hijacking vulnerabilities much easier to exploit.