Ne $ _SESSION ve nasıl ben PHP'de OTURUM adınızı güvenceye yok

Question

benim OTURUM sucessesfull girişten sonra başlar ve ben gerçekten benim OTURUM değeri ne kadar güvenli olduğunu bilmiyorum

Benim OTURUM değeri burada user name ve benim kod

olduğunu İşte

<?php 
require_once('includes/config.php'); 
if ($user->is_logged_in()) { 
    header('Location: signup.php'); 
} 
if (isset($_POST['submit'])) { 
    $username = filter_input(INPUT_POST, 'username'); 
    $password = filter_input(INPUT_POST, 'password'); 
    if ($user->login($username, $password)) { 
     $_SESSION['username'] = $username; 
     header('Location: index.php'); 
     exit; 
    } else { 
     $error[] = 'Wrong username or password or your account has not been activated.'; 
    } 
} 
?> 

private function get_user_hash($username){ 
     try { 
      $stmt = $this->_db->prepare('SELECT password FROM members WHERE username = :username AND active="Yes" '); 
      $stmt->execute(array('username' => $username)); 
      $row = $stmt->fetch(); 
      return $row['password']; 
     } catch(PDOException $e) { 
      echo '<p class="bg-danger">'.$e->getMessage().'</p>'; 
     } 
    } 
    public function login($username,$password){ 
     $hashed = $this->get_user_hash($username); 
     if($this->password_verify($password,$hashed) == 1){ 
      $_SESSION['loggedin'] = true; 
      return true; 
     } 
    } 

Şimdi benim $_SESSION

ne kadar güvenli olduğunu bilmek gerekir benim fonksiyondur

ve $ _SESSION değerinin güvenliğini nasıl sağlayabilirim?

Answer 1

İlk olarak, oturumların PHP'de nasıl çalıştığı hakkında daha derin bir anlayışa sahip olmak değerlidir. Eğer session_start() çalıştırdığınızda, PHP, örneğin cari ziyaretçi için bir kimlik kaydeder ve siz oturum kimliği ile bağlantılı bilgileri alan/depolama başlamasını sağlar:

session_start(); // Registered visitor ID on server "B3D4IUC86" 
$_SESSION['password'] = "test1234"; // Stores password for visitor "B3D4IUC86" 
echo $_SESSION['password']; // Retrieves 'password' index for visitor "B3D4IUC86" 

doğrudan güvenli/şifrelenmemiş verileri depolamak için değil en iyi yöntem Bu veriler, aktarma sırasında veya doğrudan erişilebildiğinden, kullanıcının makinesinde. Aksine, makinelerinize bakabileceğiniz ve bilgiyi dahili olarak bulabileceğiniz bir ID saklayın. Bu, tüm verileri aktarmadığınız için ağ aktarım hızlarını da (biraz) artıracak, ancak sadece aradığınız basit bir kimlik olacaktır.