相关疑难解决方法(0)

目前,当用户登录时,我创建了2个会话.

$_SESSION['logged_in'] = 1;
$_SESSION['username']  = $username; // user's name

那么,那些需要登录的页面,我只是这样做:

if(isset($_SESSION['logged_id'])){
// Do whatever I want
}

有没有安全漏洞？我的意思是,攻击我的会话容易吗？人们如何破解会话？以及如何防止它？

编辑:

刚发现这个:

http://www.xrvel.com/post/353/programming/make-a-secure-session-login-script

http://net.tutsplus.com/tutorials/php/secure-your-forms-with-form-keys/

刚发现链接,这些方法是否足够好？请提出你的意见.我还没有得到最好的答案.

场景:

• 用户登录后,会设置会话变量以确认其登录.
• 在每个页面的顶部,登录会话变量被确认有效
• 如果不是,他们就会被淘汰出局.
• 不使用持久性cookie session

题:

这是一个足够强大的安全措施本身,还是我应该

• 设置两个会话变量以验证彼此和/或
• 实现数据库/哈希验证
• ...？

========

(顺便说一句,在我研究这个问题时,这个wiki是一个很棒的读物.)