PHP 会话存储在共享主机上的 /tmp 中安全吗？
我听说因此会出现安全问题。使用纯粹的数据库来存储 PHP 会话而不是在 /tmp 中是否明智？
I have heard that there are security problems that arise because of this. Would it be wise to use purely databases for storing PHP sessions rather than in /tmp?
如果你对这篇内容有疑问，欢迎到本站社区发帖提问 参与讨论，获取更多帮助，或者扫码二维码加入 Web 技术交流群。
绑定邮箱获取回复消息
由于您还没有绑定你的真实邮箱，如果其他用户或者作者回复了您的评论，将不能在第一时间通知您！
发布评论
评论（3）
它们是不安全的（尽管 Suhosin 扩展可以对它们进行加密，提供一点安全性）。您不应该仅仅因为这个就需要切换到数据库（尽管还有其他正当理由这样做）。最简单的方法是设置
session .save_path到只有您可以访问的目录。They are unsafe (although the Suhosin extension can encrypt them, providing a little bit of security). You shouldn't need to switch to a database just because of this (although there are other valid reasons to do so). The easiest way is to just set
session.save_pathto a directory only you can access.当然，如果会话数据包含敏感信息，那么将其提供给您不能信任的任何人是不安全的。
同时，数据库是一个外部系统，如果您的代码依赖于它，它会降低整体可靠性，更不用说与使用普通文件系统相比会增加额外的计算开销。
因此，这不一定是智慧的问题，而是一如既往地使用正确的工具来完成工作的问题。
If session data contains sensitive pieces of information, it's unsafe to have it available to anyone you can't trust, of course.
At the same time, database is an external system that reduces overall reliability if your code depends on it, not to mention additional computational overhead as compared to using plain filesystem.
So it's not necessarily a matter of wisdom, but, as always, a matter of using the right tool for the job.
不，如果您使用共享主机，您的主机提供商可以读取它们（如果他/她愿意）
...
No, they can be readed by your host provider, if you're using shared hosting, if he/she wants
...