PHPセッション - 複数のユーザが1つのIPを持つ

Question

月曜日、ログインするまで、セッションをユーザIPとして設定することでセッションハイジャックのセキュリティ問題を解決したと思います。テストユーザー）、2つの間で切り替えを続けました。これを防ぐ方法があり、私のサイトに同じIP登録を持つ2人のユーザーを許可しますか？

ありがとうございます。 テリー。

Answer 1

ユーザーIDをと一緒にテーブルと一緒に保存することをお勧めします。それから、後続のリクエストで同じIPから来ていることを確認し、そうでなければ再びログインするようにします。この方法には問題があります。ユーザーのIPは、ISPによって10分ごとに頻繁に変更される可能性があります。

PHPが提供するセッションIDは、ユニークで推測が困難なものとして使用してください。クッキーから読み取られ、URLから決して読み取られることを要求しないでください。

Answer 2

私はあなたのIPを使って、MySQLデータベースのユーザーの情報を探していますか？それは間違いです。本当にユニークな唯一の方法は、主キーフィールドを使用することです。

プライマリキーをセッションとして保存し、データをプルするか、関連する情報をセッションに保存し、必要なときにのみ他のものをプルします。

Answer 3

問題がある場合はサイト全体をSSLで保護し、短いクッキータイムアウトを適用します。 sslはクッキーと送信を暗号化して、盗聴することはできません。システムに直接アクセスした場合、「ログインした」コンピュータから取得した直後に、短い時間でクッキーが役に立たなくなります。したがって、短期間にセキュリティ証明書を取得し、通常のPHPセッションで通常どおりに続行します。