有没有机会破解codeigniter会话？

Question

目前我正在与CI合作.我正在使用CI会话库,它将所有会话值保存在cookie中.是否有任何可能通过在Mozilla中使用像web开发人员这样的插件来破解这个(会话变量).

Answer 1

默认情况下,会话由4个信息组成:

1. 用户唯一的会话ID(这是具有非常强的熵的统计随机字符串,使用MD5进行散列以实现可移植性,并且每五分钟重新生成(默认情况下))
2. 用户的IP地址
3. 用户的用户代理数据(浏览器数据字符串的前120个字符)
4. "最后活动"时间戳.

当然,还有你自己的会话数据.这四个数据中的3个不需要是安全的,而第一个应该非常可靠,即使使用MD5,我也没有深入到代码中来实际查看它是否如此(我不是安全专家) .后者信息的安全级别取决于您在那里存储的信息类型,以及您在存储之前如何处理它们.

您也可以决定使用数据库存储会话,这将是一个更安全的选项(前提是您不要搞砸允许sql注入!).

还要注意:

如果启用了加密选项,则序列化阵列将在存储到cookie之前进行加密,从而使数据具有高度安全性,并且不会被某人读取或更改.有关加密的更多信息可以在这里找到,尽管Session类将负责自动初始化和加密数据.

好吧,他们应该很安全; 如果你不够信任它们,你可以自由地散列或加密你想要的数据,或者仍然可以毫无问题地使用PHP本地会话.