使用 $_SESSIONS 设置用户 ID 和 PASS

Question

设置用户 ID 并传递给会话是否存在安全风险？如果是这样怎么办？ 会话变量将位于包含的文件中。我知道这不会允许其他用户登录，但我只有一个用户登录。

****CONFIG.PHP****
session_start();
$_SESSION['USER'] = 'USERNAME';
$_SESSION['PASS'] = 'PASSWORD';


****LOGIN.PHP****
include ('config.php');
IF ($_SESSION['USER'] == $_POST['USERNAME'] && 
$_SESSION['PASS'] == $_POST['PASSWORD']){
ALLOW ACCESS;
}

Answer 1

如果您使用最终用户无论如何都无法修改的服务器端会话，则没有理由将密码存储在那里。这只是服务器上密码存在的另一个地方。一旦您验证了它是有效用户并且密码正确，您只需将其用户 ID 存储在会话中即可。他们无法更改它，因此您始终可以相信这实际上是他们的用户 ID。

会话劫持的风险始终存在，但这是另一个话题了。

至于你的代码，你误解了会话。您可以在验证用户输入后设置这些内容。

****CONFIG.PHP****
$username = 'USERNAME';
$password = 'PASSWORD';


****LOGIN.PHP****
include ('config.php');
IF ($username == $_POST['USERNAME'] && $password == $_POST['PASSWORD']){
    session_start();
    $_SESSION['username'] = $username;
}

然后您可以测试是否设置了 $_SESSION['username'] 。如果是，那么您就知道您已登录。

IF (isset($_SESSION['username'])){
    ALLOW ACCESS;
}

Answer 2

您不应该在会话中保护密码。如果操作正确，会话数据就无法从外部进行操作，因此当设置用户名时，您就知道该用户是合法的。

Answer 3

这不会造成安全风险，但它绝对不允许扩展。如果明天需要允许两个用户，则必须重新构建登录架构。

而且，如果您只允许一名用户，为什么要使用会话来存储您要比较的值？你可以这样做

Config.php

static class AuthValues
{
   $username = "username";
   $password = "password"
}

然后，在 login.php

include ('config.php');
$auth = AuthValues;
IF ($auth::username == $_POST['USERNAME'] && 
$auth:password == $_POST['PASSWORD']){
ALLOW ACCESS;
}

Answer 4

正如您的脚本名称 CONFIG.PHP 所示，用户名和密码是配置数据。会话用于存储属于特殊用户会话的数据。存储配置数据的一个好习惯是使用常量，因为一旦定义它们，您的程序就无法更改它们。

CONFIG.PHP

define('USER', 'USERNAME');
define('PASS', 'PASSWORD');

登录.PHP

include 'config.php';
IF (USER == $_POST['USERNAME'] && PASS == $_POST['PASSWORD']) {
    session_start();
    $_SESSION['allow_access'] = true;
}

WHATEVER.PHP

session_start();
if (isset($_SESSION['allow_access'])) {
    //ALLOW ACCESS
}

Answer 5

会话注入可能会窃取另一个用户的会话并获取他/她的密码。即使您使用的是加盐的文本而不是明文，这也不是真正值得推荐的。

更好的方法是实现一个好的算法，当用户执行需要特殊许可才能执行的操作时，经常重新检查用户是否有效。

处理时间和类似的事情对我来说应该比良好的安全性更重要！

哈利