phpsessid - セッション名をハッシュ値とビジター固有の値に変更する価値はありますか？

Question

セキュリティ上の理由から、session_name（）関数を使用してデフォルトのphpsessidの名前をハッシュまたは暗号化されたIDに変更することは価値がありますか？

もしそうなら、それを実装する最良の方法は何ですか？

おかげで、

Answer 1

あり、ウェブ上でこのことについて書かれたたくさんだ、と私はStackExchangeに読んだ前の質問。あなたのsession_idを暗号化するだけで、元の乱数と同じように容易にハイジャックする別の乱数が作成されます。

セッションを暗号化する場合は、session_idを新しい番号に再割り当てするか（何も達成していない場合）、またはスクリプトで暗号化/復号化機能を使用します。

後者の方法を使用して、別のユーザーが暗号化したセッションIDを取得すると、スクリプトによって復号化され、アクセスは引き続き許可されます。

要するに、session_idをそれ以上割り当てられた乱数の上にさらに暗号化するには、実際の効用はほとんどありません。