我有一个关于安全和会话 cookie 的问题。 我正在构建的网站我使用以下内容：
当用户正确登录时，我会为会话提供一个 cookie“身份验证”。 在脚本的后面，我使用了这个 cookie。 喜欢：
if ($_SESSION['authenticate'] === 'fail'){do something}
else if ($_SESSION['authenticate'] === 'pass'){do something else}
但现在的问题... 由于安全原因，我的直觉说：不安全！！！.... 有没有更安全的方法来做这个 whitout 会话 cookie？ 或者这是完全安全的方式吗？
thnx 在高级。
【问题讨论】：
您需要了解 PHP 会话和 cookie 之间的区别。
Cookie 是服务器发送给浏览器的字符串，浏览器必须在每次后续请求时将其发送回服务器，直到 cookie 过期。
例如，如果服务器响应带有标头 Set-Cookie: foo=abc123; Expires=Wed, 09 Jun 2021 10:18:14 GMT 的请求，则在 2012 年 6 月 9 日之前的每个后续请求中，浏览器都必须发送 request 标头 Cookie: foo=abc123。
在 PHP 脚本中，$_COOKIE['foo'] 将是 abc123。
PHP 会话基于 cookie，但它们不会将值存储在 cookie 中。
如果您存储$_SESSION['foo'] = 'abc123'，服务器将不会将foo=abc123 作为cookie 发送给客户端，而是会创建一个会话存储在服务器上，并且仅将会话ID 作为cookie 发送。
因此，当您调用session_start() 时，PHP 会在服务器上生成一个新会话，并带有一个自动生成的 id（如果您有兴趣，可以使用session_id() 读取 id）。然后它会（自动）向客户端发送一个类似于phpsessid=PHP_SESSION_ID_HERE 的cookie。所有这些都是 PHP 自动完成的，您无需担心。
在这个故事的最后，是的，您的代码是安全的。这是因为您没有设置 cookie authenticated=pass（这将是不安全的，因为客户端可以轻松覆盖 cookie），而是将该值存储在 PHP 会话存储中，而客户端只能看到会话 ID。
PS：您可能希望在会话中存储更多有用的信息，例如数据库中经过身份验证的用户的用户 ID 或其他任何有意义的信息，而不是仅存储布尔值“已验证”。
PS2：PHP 会话对未启用 cookie 的浏览器提供旧版支持，但在 2015 年这毫无意义（我想知道谁还在禁用 cookie！ - 如果你这样做，90% 的网站将停止工作）。因此，您应该确保拥有以下两个 ini 设置：（文档：http://php.net/manual/en/session.configuration.php#ini.session.use-cookies）
session.use_cookies 1
session.use_only_cookies 1
【讨论】：
session_id() 绑定到客户端 IP。这将有助于防止会话劫持和 cookie 窃取。 +1 来自我，很好的解释。
session_id() 是否对IP 有效，而不是通过传入IP 得到session_id()。这样，如果有人劫持了您的 cookie 并获取了您的 PHPSESSID，他们将不得不在同一个网络上，或者欺骗他们的 IP（？） - 使劫持变得更加困难，是的，但不可能？不确定。
$_SESSION 中并在每个页面上验证它一样简单。
:)