[請益] 有辦法從客戶端設定Session的值嗎

看板PHP作者 (Freebug)時間6年前 (2018/04/02 14:48), 編輯推噓1(104)
留言5則, 3人參與, 6年前最新討論串1/1
請問駭客他們有辦法從客戶端設定Session的變數值嗎? 還是Session變數值必須由伺服器端的程式(PHP)設定才行? 例如有個Session變數叫$_SESSION['id'] 駭客有辦法不經過後端程式PHP就直接設定$_SESSION['id']的值嗎? 謝謝 -- ※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 1.200.60.180 ※ 文章網址: https://www.ptt.cc/bbs/PHP/M.1522651694.A.424.html

04/02 15:45, 6年前 , 1F
Session記在server上,前端無法設定或讀取
04/02 15:45, 1F

04/02 15:45, 6年前 , 2F
一般而言是安全的,除非碰到XSS
04/02 15:45, 2F

04/02 15:46, 6年前 , 3F
但即使XSS成功也不能直接從前端修改
04/02 15:46, 3F

04/02 16:39, 6年前 , 4F
client的session id規則不要被猜到就好了
04/02 16:39, 4F

04/02 19:25, 6年前 , 5F
http-only設上去 他們就沒辦法從前端修改Cookie
04/02 19:25, 5F
文章代碼(AID): #1QmT8kGa (PHP)
文章代碼(AID): #1QmT8kGa (PHP)