随机重新生成会话 ID 的原因？

【问题标题】：Reason to Randomly Regenerate Session ID?随机重新生成会话 ID 的原因？
【发布时间】：2012-11-02 04:44:17
【问题描述】：

这是好的做法吗？我以前从未见过它，但到目前为止效果很好。

if(mt_rand(1, 10) == 1) {     # regenerate "randomly" on 10% of requests
    session_regenerate_id();
}

谢谢。 :)

【问题讨论】：

你为什么要在 10% 的基础上这样做？
@Shredder 添加一个额外的安全层。我可能是错的，因此问题。
为什么不每次都这样做呢？
根据在线论坛上的一个人的说法，这是不好的做法。话又说回来，他也可能是错的。
你能在你的问题中发布这个链接吗？

标签： php session

【解决方案1】：

我认为无论出于何种适当的原因或背景，您都应该重新生成会话 ID，您应该每次都这样做，而不仅仅是有时随机（在您的情况下为 10%）。我不明白每次都这样做是不好的做法（如果我错了，请纠正我，我会很好奇为什么）。如果有人入侵了会话，那么重新生成 ID 将导致“黑客”丢失他们被入侵的会话。如果你只在 10% 的时间内重新生成 ID，那么他们有 90% 的机会仍然会保持被黑客入侵的会话。没有beuno。

【讨论】：