[解決済み] PHP セッションセキュリティ

質問

PHPで責任あるセッションセキュリティを維持するためのガイドラインは何ですか？ Webのあちこちに情報がありますが、そろそろ1つの場所にまとめてもいい頃です!

どのように解決するのですか？

セッションを安全に保つためには、いくつかの方法があります。

1. ユーザーを認証するときや、機密性の高い操作を行うときは、SSL を使用します。
2. セキュリティ レベルが変更されるたびに (ログインなど)、セッション ID を再生成します。必要であれば、リクエストごとにセッション ID を再生成することもできます。
3. セッションをタイムアウトさせる
4. レジスタ・グローバルを使用しない
5. 認証の詳細をサーバーに保存する。つまり、ユーザー名などの詳細をクッキーで送らないようにします。
6. をチェックする。 $_SERVER['HTTP_USER_AGENT'] . これは、セッションハイジャックに対する小さな障壁を追加します。また、IPアドレスを確認することもできます。しかし、これは、複数のインターネット接続でのロード バランシングなどによって IP アドレスが変化するユーザー (ここでの私たちの環境ではそうです) には問題を引き起こします。
7. ファイル システム上のセッションへのアクセスをロックするか、カスタム セッション ハンドリングを使用します。
8. 機密性の高い操作のために、ログインしたユーザーに認証の詳細を再度提供するよう要求することを検討する。