会话安全最佳实践
通过重新生成会话标识和设置标志，防止会话固定与会话劫持。
会话安全最佳实践 是 CoddyKit 上的免费 PHP Academy 课时。 这是第 2 节课，共 4 节。 你可以在下方免费阅读本课时的完整内容 — 然后在浏览器中使用内置代码编辑器和全天候 AI 导师进行实践。 这是 PHP Academy 学习路径的一部分，你的进度在网页和 CoddyKit 应用中同步。 PHP Academy 课程共包含 4 节课。
会话固定攻击
攻击者诱骗用户使用一个攻击者已经知道的会话 ID，然后在用户登录后劫持该会话。
防止会话固定：session_regenerate_id()
发生任何权限变更（登录、角色变更）后，请在保留现有会话数据的同时生成新的会话 ID。
<?php
session_start();
// After successful login:
session_regenerate_id(true); // true = delete old session file
$_SESSION["user_id"] = $userId;会话劫持
攻击者通过网络嗅探、XSS 或日志泄露窃取会话 ID。请使用 HTTPS、HttpOnly Cookie 和指纹识别来降低风险。
session.cookie_httponly
阻止 JavaScript 读取会话 Cookie——可阻止大多数基于 XSS 的会话窃取。
<?php
ini_set("session.cookie_httponly", 1);
session_start();session.cookie_secure
将会话 Cookie 标记为 Secure，使其仅通过 HTTPS 发送。
<?php
ini_set("session.cookie_secure", 1);
session_start();session.cookie_samesite
将 SameSite 设置为 Strict 或 Lax，以防止利用会话 Cookie 发起的 CSRF 攻击。
<?php
ini_set("session.cookie_samesite", "Strict");
session_start();用户代理绑定
在登录时将用户代理存储到会话中，并在每次请求时进行验证，以检测会话劫持。
<?php
if (!isset($_SESSION["ua"])) {
$_SESSION["ua"] = $_SERVER["HTTP_USER_AGENT"];
} elseif ($_SESSION["ua"] !== $_SERVER["HTTP_USER_AGENT"]) {
session_destroy();
die("Session invalid");
}会话超时
实现基于活动的超时机制——自动注销不活跃的用户。
<?php
$timeout = 1800;
if (isset($_SESSION["last_active"]) &&
time() - $_SESSION["last_active"] > $timeout) {
session_destroy();
header("Location: /login");
exit;
}
$_SESSION["last_active"] = time();session.use_strict_mode
启用严格模式，使服务器拒绝无法识别的会话 ID——防止通过 URL 注入实施会话固定攻击。
<?php
ini_set("session.use_strict_mode", 1);
session_start();自定义会话处理程序
将会话存储在 Redis 或数据库中，可以集中使某个用户的所有会话失效，并监控活跃会话。
定期重新生成
即使在持续时间较长的已认证会话期间，也应每 15 到 30 分钟重新生成一次会话 ID，以降低令牌被窃取的风险。
总结
始终使用 HTTPS，设置 HttpOnly+Secure+SameSite 标志，登录后调用 session_regenerate_id(true)，实现空闲超时，并启用严格模式。
快速检查
session_regenerate_id(true) 的作用是什么？
常见问题解答
「会话安全最佳实践」课时是免费的吗？
是的 — 「会话安全最佳实践」的完整文本可在网页上免费阅读。要进行交互式练习（内置代码编辑器和全天候 AI 导师）并解锁 PHP Academy 课程的其余内容，请升级到 CoddyKit PRO。 PHP Academy 课程共包含 4 节课。
「会话安全最佳实践」这节课中我会学到什么？
通过重新生成会话标识和设置标志，防止会话固定与会话劫持。 你通过在浏览器中直接运行的动手代码来练习 PHP Academy，全天候 AI 导师会在你学习这节课的过程中回答你的问题。
学习 PHP Academy 需要有经验吗？
无需任何先前经验。CoddyKit 上的 PHP Academy 课程适合初学者到高级学习者，你可以从这里开始或从头开始，按照自己的节奏学习。 这是第 2 节课，共 4 节。
「会话安全最佳实践」课时需要多长时间？
大多数 CoddyKit 课程大约需要 5–10 分钟。每节课都很精短且互动，所以你能稳步进步，并在网页和应用中从离开的地方继续。
我能在这节 PHP Academy 课中编写并运行代码吗？
能。每节 PHP Academy 课都包含内置代码编辑器，你可以在浏览器中直接编写并运行真实代码，并获得即时 AI 反馈 — 无需本地设置。