1

Quiero hacer que las sesiones de mi aplicación web en PHP duren 24 horas, y he pensado en cambiar el ID de sesión cada x tiempo para hacerle más difícil a los atacantes robar sesiones.

Entonces me ha surgido la siguiente pregunta:

¿session_regenerate_id cambia la ID tanto del lado del servidor como en la cookie manteniendo los datos de la sesión?

Es decir, si lo uso, ¿El usuario mantendrá su sesión con los mismos datos en la variable $_SESSION?

También quisiera saber qué les parece esta práctica, ya que no soy experto en las sesiones y me preocupa mucho la seguridad.

1 respuesta 1

1

session_regenerate_id()

La utilidad de esta función es remplazar, como bien lo dices, el ID de la sesión actual sin eliminar los valores de la misma.

¿Para que sirve?

Una de sus principales funciones es la seguridad, esto con el fin de prevenir el robo de sesiones, lo cual significa que usuarios maliciosos puedan acceder a la información de una sesión copiando la de otro usuario y estableciéndola en el sitio.

¿Cuando usar?

Lo recomendable es cambiar el ID de la sesión cuando se realice cualquier cambio en el estado de la sesión, cualquier cosa que requiera autenticación.

Te dejo varias referencias para que puedas ver un poco más de ello.

Session hijacking: https://es.wikipedia.org/wiki/Secuestro_de_sesi%C3%B3n

session_regenerate_id(): http://php.net/manual/es/function.session-regenerate-id.php

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.