PHP会话ID - 它们是如何生成的？

Question

当我调用session_start()或者session_regenerate_id(),PHP生成看似是会话ID的随机字符串.我想知道的是,它只是一个随机的字符序列,还是像uniqid()函数一样？

因为如果它只是随机字符,理论上你不能遇到冲突吗？如果用户A已登录,然后用户B已登录,并且尽管用户B生成相同的会话ID,但用户B最终无法访问用户A的帐户.

即使PHP检查是否已经存在具有相同ID的会话,如果是,再次重新生成ID ...我不认为我想要一个EVER产生相同ID两次的系统,即使在垃圾收集之后 - 也许我想存一张它们的表格并检查它们是否有可能被劫持或其他什么.

如果它不是唯一的,我该如何强制执行唯一性？我宁愿使用PHP配置来实现它,而不是在我制作的每个脚本中实现它.PHP会话的好处不是担心幕后的技术细节.

Answer 1

如果你想知道PHP默认情况下如何生成会话ID,请查看Github上的源代码.它当然不是随机的,并且基于这些成分的哈希值(默认值:md5)(参见代码片段的第310行):

1. 客户端的IP地址
2. 当前时间
3. PHP线性同余生成器 - 伪随机数生成器(PRNG)
4. 特定于操作系统的随机源 - 如果操作系统有可用的随机源(例如/ dev/urandom)

如果OS具有可用的随机源,则为了作为会话ID而生成的ID的强度高(/ dev/urandom,并且其他OS随机源(通常)是加密安全的PRNG).但如果它没有那么它是令人满意的.

会话标识生成的目标是:

1. 最小化生成具有相同值的两个会话ID的概率
2. 使计算生成随机密钥并使用其中一个非常具有挑战性.

这是通过PHP的会话生成方法实现的.

你不能绝对保证唯一性,但是它的概率很低,只能达到相同的两倍,一般来说,不值得担心.

Answer 2

这是生成 id 的代码： Session.c

具体php_session_create_id功能：

PHPAPI char *php_session_create_id(PS_CREATE_SID_ARGS) /* {{{ */
{
    PHP_MD5_CTX md5_context;
    PHP_SHA1_CTX sha1_context;
#if defined(HAVE_HASH_EXT) && !defined(COMPILE_DL_HASH)
    void *hash_context = NULL;
#endif
    unsigned char *digest;
    int digest_len;
    int j;
    char *buf, *outid;
    struct timeval tv;
    zval **array;
    zval **token;
    char *remote_addr = NULL;

    gettimeofday(&tv, NULL);

    if (zend_hash_find(&EG(symbol_table), "_SERVER", sizeof("_SERVER"), (void **) &array) == SUCCESS &&
        Z_TYPE_PP(array) == IS_ARRAY &&
        zend_hash_find(Z_ARRVAL_PP(array), "REMOTE_ADDR", sizeof("REMOTE_ADDR"), (void **) &token) == SUCCESS
    ) {
        remote_addr = Z_STRVAL_PP(token);
    }

    /* maximum 15+19+19+10 bytes */
    spprintf(&buf, 0, "%.15s%ld%ld%0.8F", remote_addr ? remote_addr : "", tv.tv_sec, (long int)tv.tv_usec, php_combined_lcg(TSRMLS_C) * 10);

    switch (PS(hash_func)) {
        case PS_HASH_FUNC_MD5:
            PHP_MD5Init(&md5_context);
            PHP_MD5Update(&md5_context, (unsigned char *) buf, strlen(buf));
            digest_len = 16;
            break;
        case PS_HASH_FUNC_SHA1:
            PHP_SHA1Init(&sha1_context);
            PHP_SHA1Update(&sha1_context, (unsigned char *) buf, strlen(buf));
            digest_len = 20;
            break;
#if defined(HAVE_HASH_EXT) && !defined(COMPILE_DL_HASH)
        case PS_HASH_FUNC_OTHER:
            if (!PS(hash_ops)) {
                php_error_docref(NULL TSRMLS_CC, E_ERROR, "Invalid session hash function");
                efree(buf);
                return NULL;
            }

            hash_context = emalloc(PS(hash_ops)->context_size);
            PS(hash_ops)->hash_init(hash_context);
            PS(hash_ops)->hash_update(hash_context, (unsigned char *) buf, strlen(buf));
            digest_len = PS(hash_ops)->digest_size;
            break;
#endif /* HAVE_HASH_EXT */
        default:
            php_error_docref(NULL TSRMLS_CC, E_ERROR, "Invalid session hash function");
            efree(buf);
            return NULL;
    }
    efree(buf);

    if (PS(entropy_length) > 0) {
#ifdef PHP_WIN32
        unsigned char rbuf[2048];
        size_t toread = PS(entropy_length);

        if (php_win32_get_random_bytes(rbuf, MIN(toread, sizeof(rbuf))) == SUCCESS){

            switch (PS(hash_func)) {
                case PS_HASH_FUNC_MD5:
                    PHP_MD5Update(&md5_context, rbuf, toread);
                    break;
                case PS_HASH_FUNC_SHA1:
                    PHP_SHA1Update(&sha1_context, rbuf, toread);
                    break;
# if defined(HAVE_HASH_EXT) && !defined(COMPILE_DL_HASH)
                case PS_HASH_FUNC_OTHER:
                    PS(hash_ops)->hash_update(hash_context, rbuf, toread);
                    break;
# endif /* HAVE_HASH_EXT */
            }
        }
#else
        int fd;

        fd = VCWD_OPEN(PS(entropy_file), O_RDONLY);
        if (fd >= 0) {
            unsigned char rbuf[2048];
            int n;
            int to_read = PS(entropy_length);

            while (to_read > 0) {
                n = read(fd, rbuf, MIN(to_read, sizeof(rbuf)));
                if (n <= 0) break;

                switch (PS(hash_func)) {
                    case PS_HASH_FUNC_MD5:
                        PHP_MD5Update(&md5_context, rbuf, n);
                        break;
                    case PS_HASH_FUNC_SHA1:
                        PHP_SHA1Update(&sha1_context, rbuf, n);
                        break;
#if defined(HAVE_HASH_EXT) && !defined(COMPILE_DL_HASH)
                    case PS_HASH_FUNC_OTHER:
                        PS(hash_ops)->hash_update(hash_context, rbuf, n);
                        break;
#endif /* HAVE_HASH_EXT */
                }
                to_read -= n;
            }
            close(fd);
        }
#endif
    }

    digest = emalloc(digest_len + 1);
    switch (PS(hash_func)) {
        case PS_HASH_FUNC_MD5:
            PHP_MD5Final(digest, &md5_context);
            break;
        case PS_HASH_FUNC_SHA1:
            PHP_SHA1Final(digest, &sha1_context);
            break;
#if defined(HAVE_HASH_EXT) && !defined(COMPILE_DL_HASH)
        case PS_HASH_FUNC_OTHER:
            PS(hash_ops)->hash_final(digest, hash_context);
            efree(hash_context);
            break;
#endif /* HAVE_HASH_EXT */
    }

    if (PS(hash_bits_per_character) < 4
            || PS(hash_bits_per_character) > 6) {
        PS(hash_bits_per_character) = 4;

        php_error_docref(NULL TSRMLS_CC, E_WARNING, "The ini setting hash_bits_per_character is out of range (should be 4, 5, or 6) - using 4 for now");
    }

    outid = emalloc((size_t)((digest_len + 2) * ((8.0f / PS(hash_bits_per_character)) + 0.5)));
    j = (int) (bin_to_readable((char *)digest, digest_len, outid, (char)PS(hash_bits_per_character)) - outid);
    efree(digest);

    if (newlen) {
        *newlen = j;
    }

    return outid;
}

正如你所看到的，实际的 id 是混合的东西的哈希，比如一天中的时间。所以有可能会发生冲突，但是这种可能性非常低。这么多，除非你有很多并发用户，否则不值得担心。

但是，如果你真的很担心你可以通过设置不同的哈希算法来增加熵session.hash_function

至于监控活动会话，这个问题很好地涵盖了它是否可以使用php查看活动会话？

如果你在一台机器上使用单个 php 实例，那么它实际上有一个内置的会话管理器，它在分配一个 id 之前检查它是否已经存在。但是，如果您正在运行多个实例或多台机器，则无法知道其他机器分配了哪些 ID。