首页 ❯

PHP 客户端可以设置 $_SESSION 变量吗？

php security
2022-08-30 19:17:35

是否存在客户端/用户/黑客可以自己设置变量的情况（不包括在服务器计算机上运行的恶意软件）。我主要是指通过浏览器）？$_SESSION

我之所以问这个问题，是因为我几天前问过这个问题。从那时起，我对这个问题变得非常困惑，但我对会话固定和劫持有了更好的了解。

简而言之，如果我用类似的东西验证每个页面，它安全吗？isset($_SESSION['validated'])


答案 1

是，如果您将变量直接分配给未过滤的用户输入。$_SESSION

这让我想到了我的观点：永远不要相信来自用户的输入。曾

如果你确实在过滤输入，那么我不知道该怎么做。


答案 2

是的，这是可能的。阅读有关会话中毒和另一个非常常见的安全问题 维基百科或Google上的会话修复 - 网络上充满了关于此的文章。


推荐
更多 »
标签
更多 »
php pass-by-reference optional-parameters default-value javascript arrays dom function string object serialization tostring visibility syntax jslint use-strict operators equality equality-operator identity-operator datetime timestamp date-arithmetic redirect angularjs loops foreach iteration scope variables
推荐
更多 »