是否可以通过使用 JS 在客户端设置 cookie 来伪造 PHP 中的会话？

Question

据推测，我在 PHP Web 应用程序上的会话中没有使用 HttpOnly cookie。如果访问者在使用 PHP 会话的页面上，他们可以看到会话 cookie。除了查看之外，他们还可以删除或编辑它。

下一个案例涉及用户在我的 Web 应用程序上的一个页面（例如，普通页面）上不使用会话，并且普通页面包含指向使用会话的页面（会话页面）的链接，具有，@ 987654321@。在普通页面上，如果设置了一个与我用于会话页面的 cookie 同名的 cookie（比如使用控制台），并且点击了指向会话页面的链接，那么当我执行 session_start() 时会发生什么在会话页面上？

它是创建一个新会话，还是尝试使用从正常页面发送的 cookie 中的值映射到一个会话？

如果它映射到现有会话值，则称该会话被劫持。没有映射的情况下会发生什么？它是否会创建具有新值的会话 cookie？

即使我在会话中使用 HttpOnly，也可以确定无法在客户端使用 JS 读取或操作会话 cookie。但是在服务器上，服务器是否在客户端发送到服务器的会话 cookie 上读取相同的（HttpOnly）并使会话无效，以防它不是 HttpOnly？还是尝试将值映射到服务器上的现有会话？

希望我能说清楚。

Answer 1

会话在 PHP 中是这样工作的。

当用户第一次访问该站点并且 PHP 有 session_start() 时，它会检查用户是否正在发送带有会话 ID 的 cookie。如果不是，那么它会创建一个并发送它，以便用户将其存储在 cookie 中。然后当用户访问另一个页面时，session_start() 可以检查他们是否已经有一个 cookie，这次他们有。关闭浏览器时会清除会话 cookie（存储在用户电脑上）。

session_start() 不会在每次调用时都创建一个新会话。它所做的是提取有关该会话的信息，以便可以在代码中进一步使用它。当用户从他们的 cookie 发送会话 ID 时，session_start() 然后从 Web 服务器中提取有关此会话的存储信息，以便您可以执行诸如在他们的会话中将 adminloggedin 存储为 true 或 false 之类的操作。如果用户没有发送会话 ID，那么它不会从服务器中提取任何信息，而只是创建一个 ID 并将其发送回用户以存储在 cookie 中。

您不需要在每个页面上都使用session_start()，但是如果您需要从用户会话中检查某些内容，例如他们是否已登录，那么您需要调用它以获取有关他们会话的数据。

有关会话的所有信息都存储在服务器端。例如，如果我说用户已登录并将其存储在会话中，则可以检查它以允许访问管理页面。用户无法伪造这一点，因为他们发送的只是会话 ID，并且有关会话的所有数据都存储在服务器端。他们没有存储包含会话信息的 cookie，他们存储的只是发送的会话 ID。