PHP 会话（使用 myPajamas 登录脚本）在更改网络时不起作用

Question

我在网上到处都找过了，SESSION变量的细微差别需要对我进行一些澄清。

我有一个设置会话变量的网站（我假设它还设置了一个 cookie 来定义会话 id 是什么？不知道这是如何工作的），一切都完美无缺。我在通过手机漫游（使用 wifi）时发现，每当手机切换 wifi 网络时，浏览器似乎无法再访问会话，直到该窗口/选项卡关闭并重新打开。

根据我所读到的以下内容，请为我澄清：

> < li>

当浏览器窗口关闭时，会话cookie被销毁，因此当我重新打开它时，会创建一个附加到新会话id的新cookie。从而允许会话再次正常工作？

如果网络被切换，服务器会创建一个新的会话ID，但是因为浏览器窗口没有关闭，旧的会话cookie没有被破坏，浏览器试图操纵过期的会话ID（会话cookie包含的旧会话ID）？不知道这是不是真的，我已经读了很多关于这个的页面，找不到任何具体的东西。但这就是我得到的印象。我看到了很多关于session_regenerate_id（）的警告，以至于我对使用它非常紧张…

任何有关此问题的详细信息或解决方法的帮助都将非常有用。我已到了绝境。。。

更新

我正在使用mypajamas脚本来方便登录。会话是正常创建的。但是，在查看代码后，我发现一个位置为 $_SERVER['REMOTE_ADDR'] 和 $_SERVER['HTTP_USER_AGENT'] 值设置了会话变量。然后交叉引用它们，以确保它是同一浏览器上的同一用户，同一 IP 上。这样做是为了防止多源攻击（使劫持不太可能）。问题是当使用移动浏览器或动态IP时，IP肯定会更改，并且身份验证失败。

我不能相信我不能解决这个问题，我花了几个小时寻找关于会话id改变的问题。

希望它可以帮助将来遇到类似问题的人。衷心感谢所有阅读这篇文章的人，您在评论中的指导绝对帮助我解决了这个问题。

编辑代码

class.mypajamas.php

出发地:

function check_ipau() { // user visits again... but is it really him? check values set above (by get_session())
    if( $_SESSION['auth'.$this->_unique_id]['ip'] == $_SERVER['REMOTE_ADDR']
    &&  $_SESSION['auth'.$this->_unique_id]['ua'] == $_SERVER['HTTP_USER_AGENT']) {
        // session data is correct -> user did not "change" ip-address or user agent (aka; hijack is unlikely)
        return true;

    }
    else {
        return false;
    }
}

收件人:

function check_ipau() { // user visits again... but is it really him? check values set above (by get_session())
    /*if(   $_SESSION['auth'.$this->_unique_id]['ip'] == $_SERVER['REMOTE_ADDR']
    &&  $_SESSION['auth'.$this->_unique_id]['ua'] == $_SERVER['HTTP_USER_AGENT']) {
        // session data is correct -> user did not "change" ip-address or user agent (aka; hijack is unlikely)
        */
        return true;
        /*
    }
    else {
        return false;
    }*/
}

Answer 1

会话仅限于服务器端。不幸的是，如果您来自不同的网络地址，会话将无效。

如果您想保留会话值，一个好的做法是创建自己的cookies，这样您就知道某人曾经被验证过/拥有一个有效的会话。然后，首先检查是否设置了会话值，如果没有，则检查cookie。如果该cookie存在并且有一个好的值，您可以将会话值重新设置为cookie的值(或者就像在身份验证时一样设置会话)。如果没有会话也没有cookie，则认为该会话不存在。

Answer 2

首先，会话变量实际上是 cookie。

1） 会话cookie具有生命周期。如果您的代码没有指定生存期，那么该值默认为php配置中的任何值。做一个phpinfo（）；并寻找会话。cookie_lifetime，以秒为单位。值为0表示浏览器窗口关闭时cookie过期。

2）如果您的代码使用样板PHP会话处理，那么问题不太可能与用户的ip地址更改有关。PHP会话不存储客户端ip，只要您连接的应用程序在两个网络上具有相同的域名/公共ip，那么您就应该没事。（请参阅PHP会话Cookie因用户更改IP而失败）

可能会有一些附加的会话处理来存储客户端的IP，但这必须是自定义编码的，而不是基于任何内置功能。

（根据您的编辑，事实确实如此。

如果您在网络 A 和网络 B 上访问相同的 URL，则会话没有理由更改/受到网络交换机的影响。如果您必须关闭浏览器窗口，并发现您的会话数据消失了，那么问题就在于将会话 cookie 的生存期设置为非 0 的值。将以下行放在 session_start（） 之前：

session_set_cookie_params(X);

其中 X 是以秒为单位的值，之后 cookie 将过期。请记住，如果您在 session_start（） 的每个实例之前调用上述代码;然后，cookie实际上永远不会过期，因为每个页面都将提前一小时重置该计数器。