用户可以修改PHP会话吗？

Question

page1.php中:

<?php
session_start();
if ($_POST['password'] == "testpass")
    $_SESSION['authenticated'] = true;
?>

使page2.php

<?php
session_start();
if (isset($_SESSION['authenticated']) && $_SESSION['authenticated'] == true) {
    echo "Super secret stuff!";
}
?>

用户可以在没有超级安全密码的情况下进入吗？

Answer 1

否.$ _SESSION变量中的数据存储在服务器上,无法从用户访问.

会话通过cookie耦合到用户.具有标识符(即,长随机字符串)的cookie被发送给用户以识别用户并将他链接到他的会话.如果其他人获得了访问此cookie的权限,他可以使用相同的代码来说明他是用户,并且这样他就可以在没有密码的情况下进入.