Dobre praktyki bezpieczeństwa sesji
Zapobiegaj utrwalaniu i przejmowaniu sesji za pomocą regeneracji oraz flag
Dobre praktyki bezpieczeństwa sesji to bezpłatna lekcja PHP Academy na CoddyKit. To lekcja 2 z 4. Możesz przeczytać całą lekcję poniżej za darmo — a potem ćwiczyć ją interaktywnie w przeglądarce z wbudowanym edytorem kodu i tutorem AI dostępnym 24/7. To część ścieżki edukacyjnej PHP Academy, a Twój postęp synchronizuje się między webem a aplikacją CoddyKit. Kurs PHP Academy zawiera 4 lekcji w sumie.
Atak session fixation
Atakujący nakłania użytkownika do użycia identyfikatora sesji, który już zna, a następnie przejmuje sesję po zalogowaniu użytkownika.
Zapobieganie session fixation: session_regenerate_id()
Po każdej zmianie uprawnień (logowaniu lub zmianie roli) wygeneruj nowy identyfikator sesji, zachowując istniejące dane sesji.
<?php
session_start();
// After successful login:
session_regenerate_id(true); // true = delete old session file
$_SESSION["user_id"] = $userId;Przejęcie sesji
Atakujący kradnie identyfikator sesji za pomocą podsłuchiwania ruchu sieciowego, XSS lub wycieku logów. Należy stosować HTTPS, ciasteczka HttpOnly i fingerprinting.
session.cookie_httponly
Uniemożliwia JavaScriptowi odczyt ciasteczka sesji — zapobiega większości przypadków kradzieży sesji za pomocą XSS.
<?php
ini_set("session.cookie_httponly", 1);
session_start();session.cookie_secure
Oznacza ciasteczko sesji jako Secure, dzięki czemu jest ono wysyłane wyłącznie przez HTTPS.
<?php
ini_set("session.cookie_secure", 1);
session_start();session.cookie_samesite
Ustawia SameSite na Strict lub Lax, aby zapobiec atakom CSRF wykorzystującym ciasteczko sesji.
<?php
ini_set("session.cookie_samesite", "Strict");
session_start();Powiązanie z User-Agentem
Podczas logowania zapisuje User-Agent w sesji i weryfikuje go przy każdym żądaniu, aby wykryć przejęcie sesji.
<?php
if (!isset($_SESSION["ua"])) {
$_SESSION["ua"] = $_SERVER["HTTP_USER_AGENT"];
} elseif ($_SESSION["ua"] !== $_SERVER["HTTP_USER_AGENT"]) {
session_destroy();
die("Session invalid");
}Limit czasu sesji
Należy wdrożyć limity czasu oparte na aktywności — automatycznie wylogowywać nieaktywnych użytkowników.
<?php
$timeout = 1800;
if (isset($_SESSION["last_active"]) &&
time() - $_SESSION["last_active"] > $timeout) {
session_destroy();
header("Location: /login");
exit;
}
$_SESSION["last_active"] = time();session.use_strict_mode
Włącza tryb ścisły, dzięki któremu serwer odrzuca nierozpoznane identyfikatory sesji — zapobiega utrwaleniu sesji przez wstrzyknięcie do adresu URL.
<?php
ini_set("session.use_strict_mode", 1);
session_start();Niestandardowe moduły obsługi sesji
Przechowywanie sesji w Redisie lub bazie danych pozwala centralnie unieważniać wszystkie sesje użytkownika i monitorować aktywne sesje.
Okresowa regeneracja
Nawet podczas długiej uwierzytelnionej sesji należy regenerować identyfikator sesji co 15–30 minut, aby zmniejszyć ryzyko kradzieży tokenu.
Podsumowanie
Zawsze należy używać HTTPS, ustawiać flagi HttpOnly+Secure+SameSite, wywoływać session_regenerate_id(true) po zalogowaniu, wdrażać limity bezczynności i używać trybu ścisłego.
Szybkie sprawdzenie
Co robi session_regenerate_id(true)?
Często zadawane pytania
Czy lekcja „Dobre praktyki bezpieczeństwa sesji” jest bezpłatna?
Tak — pełny tekst „Dobre praktyki bezpieczeństwa sesji” jest dostępny za darmo tutaj w sieci. Aby ćwiczyć ją interaktywnie (wbudowany edytor kodu i tutor AI dostępny 24/7) i odblokować resztę kursu PHP Academy, przejdź na CoddyKit PRO. Kurs PHP Academy zawiera 4 lekcji w sumie.
Co nauczysz się w „Dobre praktyki bezpieczeństwa sesji”?
Zapobiegaj utrwalaniu i przejmowaniu sesji za pomocą regeneracji oraz flag Ćwiczysz PHP Academy z praktycznym kodem, który uruchamiasz bezpośrednio w przeglądarce, a tutor AI dostępny 24/7 odpowiada na Twoje pytania podczas pracy nad lekcją.
Czy potrzebuję doświadczenia, aby zacząć PHP Academy?
Nie wymagamy żadnego doświadczenia. PHP Academy w CoddyKit jest strukturyzowany dla początkujących i zaawansowanych użytkowników, więc możesz zacząć tutaj lub od początku i uczyć się w swoim tempie. To lekcja 2 z 4.
Ile czasu zajmuje lekcja „Dobre praktyki bezpieczeństwa sesji”?
Większość lekcji CoddyKit trwa około 5–10 minut. Każda lekcja to mały, interaktywny krok, dzięki czemu robisz systematyczne postępy i zawsze wracasz dokładnie do tego samego miejsca — na webie i w aplikacji.
Czy mogę pisać i uruchamiać kod w tej lekcji PHP Academy?
Tak. Każda lekcja PHP Academy zawiera wbudowany edytor kodu, więc piszesz i uruchamiasz prawdziwy kod bezpośrednio w przeglądarce i od razu otrzymujesz sprzężenie zwrotne od AI — bez konfiguracji na komputerze.
Wszystkie lekcje w tym kursie
- Rozpoczynanie i używanie sesji
- Dobre praktyki bezpieczeństwa sesji
- Ustawianie i odczytywanie ciasteczek
- Bezpieczeństwo ciasteczek: flagi HttpOnly i Secure