我如何在PHP中修复Session Fixation

Question

我如何在PHP/cakephp中修复Session Fixation.我在共享主机上.

编辑我在共享主机上我如何启用它如果我没有与php.ini的ace

Answer 1

设置session.use_only_cookies = true.使用cookie比使用POST/GET参数注入和/或社交工程会话ID更难.
设置session.cookie_httponly = true.不是因为会话固定而是会话劫持......无论如何,客户端脚本不应该有充分的理由能够读取会话ID cookie.
根据需要经常使用session_regenerate_id() ; 每次尝试登录时至少.

session.use_only_cookies和session.cookie_httponly都标记为PHP_INI_ALL.也就是说,在调用session_start()之前,可以通过ini_set()设置值,然后再调用session_start(),_ everytime_. (2认同)