带有禁用cookie的PHP会话,它有效吗？

Question

今天我作为PHP开发人员接受了skype面试,其中一个问题是关于Cookies和PHP Sessions.

问题是,如果在用户浏览器中禁用了Cookie,是否可以设置和读取,使用PHP会话？

我告诉他们不是,默认情况下,PHP会话取决于设置会话cookie.当PHP会话开始,新的会话cookie设置默认名称PHPSESSID,并且该cookie认为会话ID的值,例如:ftu63d8al491s5gatuobj39gk7然后在TMP文件夹中的文件sess_ftu63d8al491s5gatuobj39gk7 Apache服务器上创建并认为会议的内容,例如:test1 | s:12:"SessionTest1"; test2 | s:12:"SessionTest2";

他们告诉我这不是真的,即使用户在浏览器中禁用了cookie,也可以使用PHP Sessions.

然后我告诉他们你可以这样做,但会话ID将作为GET变量通过URL传递.这不安全,你必须在php.ini中设置它.

他们正在讨论如何在浏览器中禁用Cookie时如何使用PHP会话.如果我们正在建立网上商店,并且一些奶奶使用我们的网上商店并禁用cookie,她会更加小心.PHP会话非常棒,因为即使用户禁用了Cookie,您也可以使用它们.我就像wtf,wtf wtf？!？!

我用两个文件进行测试,index.php启动会话并设置会话变量.然后session.php尝试读取该会话变量.

这是它的样子:

的index.php

<p>This is where I start and set php sessions.</p>

<?php

    session_start();
    $_SESSION['test1'] = "SessionTest1";
    $_SESSION['test2'] = "SessionTest2";

?>

<p>This is a link, that starts new HTTP Request, and tries to read session set on this page:</p>
<p><a href="session.php">Read Session</a></p>

session.php文件

<?php

    session_start();
    var_export($_SESSION);

?>

<p><a href="index.php">Back</a></p>

现在,如果您在浏览器中启用cookie,请访问index.php,并访问session.php,会话将被打印出来.

但是,如果你清除浏览器历史记录和cookie,然后访问index.php,然后访问session.php,你会看到空数组对吗？

基本上我的问题是,我是对的吗？如果在浏览器中禁用cookie,可以使用PHP会话吗？并且默认情况下做PHP会话机制,取决于设置会话COOKIE？

更新:我对此感到很生气,所以我回电话给那个和我说话的人.并问他,默认情况下PHP会话可以不使用cookie吗？那家伙说"是".然后我告诉他他错了,他说:"是的,是的,如果你这么说......"然后开始大笑.然后我告诉他,如果PHP会话可以在没有设置cookie的情况下工作,那么服务器如何知道当前用户/浏览器会话ID,如果它没有存储在会话cookie中？(我想知道他是否知道会话ID可以作为GET变量传递)并且他至少安静了20多秒,并告诉我他是系统管理员,我应该问开发人员.而且他已经43岁了,并且在商务方面拥有13年的丰富经验(他以30？wtf开始？),但他信任我.我向他解释了Session如何工作以及你可以在没有Cookie的情况下使用它,但是会话ID被作为GET变量传递,告诉他我告诉他们在采访中,但他们告诉我不,不,不...:S

所以基本上,这个人对PHP和PHP Sessions没有任何线索,是的,他是那个问我会话的人,告诉我PHP会话可以在没有cookie的情况下工作,即使我告诉他不能这样做,那个有一种方法可以在没有cookie的情况下使用PHP会话,但默认情况下它不起作用.他就像,不,不......最后他告诉我,他认为会话可以在没有cookie的情况下工作,因为他作为服务器上的系统管理员,永远看不到tmp文件夹中的会话？!？!？

无论如何,那些家伙都吮吸PHP,我无法接受他们的工作机会,毕竟我不认为他们会给我一份工作......

感谢所有的评论!

Answer 1

"访问您网站的访问者被分配了一个唯一的ID,即所谓的会话ID.这可以存储在用户端的cookie中,也可以在URL中传播."

会议:简介

Answer 2

如果session.use_cookies = 1(启用Cookie).

如果session.use_cookies = 0(禁用Cookie.)

如果session.use_cookies = 1,则会话将sessionId存储到cookie中.调用session_id()从cookie获取存储的sessionId,并在所有页面上找到保存的数据到会话数组中.如果session.use_cookies = 0在这种情况下,session不会将sessionId存储到cookie中,并且每次使用session_id()时都会得到一个新的sessionId,而在其他页面上找不到存储在其他页面上的session中的数据.

Answer 3

基本上我的问题是,我是对的吗？

大多.在现实世界中:是的.

如果在浏览器中禁用cookie,可以使用PHP会话吗？

您可以使用没有cookie的PHP会话,只要以某种方式获得浏览器标识并产生唯一值(并将此值传递给PHP会话层):

• GET中的会话ID(如果不允许使用cookie,则为"标准"PHP方式,以及您描述的"其他"方式).然后,这个值由PHP自动传播,例如添加到所有A HREF等等.由于自动链接识别失败而未传播(例如,使用Javascript构建的复杂URL),因此您有责任相应地提供.

或者 - 这里我们不再在堪萨斯州了:

• 使用Auth Digest在nonce中传递(这是一个肮脏的技巧,当然要求整个站点都支持Auth-Digest访问身份验证方案.而且你不能再使用"虚拟身份验证"了(即http:// welcome :guest@www.example.com)因为某些浏览器(例如Internet Explorer)出于安全原因不再支持它们了)
• 以其他方式识别浏览器("指纹识别")(这通常是(1)自杀)
• 如果LSO(本地共享对象)不存在,则使用LSO(本地共享对象)生成随机UUID,并将其存储以便可以在后续访问中检索它.
• 其他方式(见http://en.wikipedia.org/wiki/Evercookie)

(1)如果您在可以信任IP的LAN中,则可以将"会话"与用户IP相关联.您可以在小公司中强制执行严格的"禁止cookie"策略,并且仍然拥有用户会话而无需使用_GET/_POST作为会话ID.

Answer 4

是的会话将在禁用cookie时起作用.但首先apache检查php配置设置.喜欢:

   --enable-trans-sid
and
   --enable-track-vars

如果这些值设置为true,则会话将自动通过POST传递.

如果"--enable-透明sid"和"--enable-轨道乏"的值设置为FALSE,我们需要通过不断SID传递会话ID.

< a href="index.php?<?= SID ?>" >Navigate from here< /a >

需要设置php.ini

ini_set("session.use_cookies", 0);
ini_set("session.use_trans_sid", 1);