PHP中正确的会话劫持预防

Question

我知道这个话题已经讨论 了很多 ，但是我还有一些具体问题仍未得到解答。例如：

// **PREVENTING SESSION HIJACKING**
// Prevents javascript XSS attacks aimed to steal the session ID
ini_set('session.cookie_httponly', 1);

// Adds entropy into the randomization of the session ID, as PHP's random number
// generator has some known flaws
ini_set('session.entropy_file', '/dev/urandom');

// Uses a strong hash
ini_set('session.hash_function', 'whirlpool');

// **PREVENTING SESSION FIXATION**
// Session ID cannot be passed through URLs
ini_set('session.use_only_cookies', 1);

// Uses a secure connection (HTTPS) if possible
ini_set('session.cookie_secure', 1);

session_start();

// If the user is already logged
if (isset($_SESSION['uid'])) {
    // If the IP or the navigator doesn't match with the one stored in the session
    // there's probably a session hijacking going on

    if ($_SESSION['ip'] !== getIp() || $_SESSION['user_agent_id'] !== getUserAgentId()) {
        // Then it destroys the session
        session_unset();
        session_destroy();

        // Creates a new one
        session_regenerate_id(true); // Prevent's session fixation
        session_id(sha1(uniqid(microtime())); // Sets a random ID for the session
    }
} else {
    session_regenerate_id(true); // Prevent's session fixation
    session_id(sha1(uniqid(microtime())); // Sets a random ID for the session
    // Set the default values for the session
    setSessionDefaults();
    $_SESSION['ip'] = getIp(); // Saves the user's IP
    $_SESSION['user_agent_id'] = getUserAgentId(); // Saves the user's navigator
}

所以，我的问题是

• 做ini_set的提供足够的安全性？
• 可以保存用户的IP和导航器，然后在每次加载页面时进行检查以检测会话劫持吗？这有什么问题吗？
• 使用session_regenerate_id()正确吗？
• 使用session_id()正确吗？

Answer 1

您的配置很棒。您肯定阅读了如何锁定php会话。但是，此行代码会抵消您的php配置提供的许多保护：
session_id(sha1(uniqid(microtime()));

这是一种生成会话ID 的 特别糟糕的 方法。根据您的配置，您正在生成会话ID，/dev/urandom 该会话ID
是一个很棒的熵池。这将比uniqid（）随机得多，而uniqid（）大多已经是一个时间戳了，向此混合添加另一个时间戳完全没有帮助。尽快删除此行代码。

检查IP地址是有问题的，ip地址是出于正当理由而更改的，例如用户是否位于负载平衡器或TOR之后。用户代理检查是没有意义的，就像具有GET变量一样?is_hacker=False，如果攻击者具有会话ID，则他们可能具有用户代理，如果没有，则很容易被暴力破解。