Una sesión de PHP
guarda de forma segura el nombre de usuario, el estado de inicio de sesión y otras cosas en la $_SESSION
matriz, ya que está almacenada en el servidor. Lo único que se envía al navegador es una cookie
única (llamada PHPSESSID a menos que la haya cambiado php.ini) que contiene la ID
de la sesión, que es un número aleatorio único.
Una vez que su visitante tiene una sesión activa cada vez que solicita una página que tiene session_start()
en la parte superior, session_start()
observará la solicitud de una cookie
llamada PHPSESSID
, leerá el archivo de sesión del servidor (si la sesión existe y es válida) y restaurará el $_SESSION
conjunto archivado. Esta matriz nunca necesita abandonar el servidor.
La cookie
de sesión se configura sin una fecha de vencimiento (a menos que se meta con la session.cookie_lifetime
opción en php.ini), por lo que el navegador la borra al apagar. El archivo de sesión en el servidor tiene un tiempo de caducidad, administrado por session.gc_maxlifetime
(en segundos).
Camino a sesiones más seguras:
Puede observar más información sobre sesiones y seguridad aquí.
Lo que no debe hacer en un Sistemas de inicio de sesión seguro
Puede configurar las cookie
con la session_set_cookie_params
función o dentro de su php.ini
.
session_set_cookie_params($lifetime = 0, $path = '/', $domain, $secure = true, $httponly = true);
Finalmente, debe crear una secuencia de comandos para registrar a los usuarios fuera de la sesión (y alentarlos a usarla en lugar de simplemente navegar). Este es un script de muestra:
<?php
session_start();
$params = session_get_cookie_params();
setcookie(session_name(), '', 1, $params['path'], $params['domain'], $params['secure'], isset($params['httponly']));
session_regenerate_id(true);
session_destroy();
session_write_close();
header('Location: your_login_page.php');
exit;
También después de un inicio de sesión o cierre de sesión exitoso, cambie la identificación de la sesión :
session_regenerate_id();
para cerrar la sesión:
session_regenerate_id(true);
Esta publicación explica en teoría la siguiente Fuente y a Gatekeeper que la implementa.
fuente
Ahora Ud puede investigar más a fondo.