草庐IT

php - 保护 Cookie 和 session

coder 2023-12-31 原文

我遇到的可能无法解决的问题如下:

我的一个客户是一个拥有 1,500 多名用户的大型组织，分布在 7-8 个不同的地点。该应用程序是基于 Kohana v3.0 框架构建的 PHP 应用程序。该组织位于 ISP 级别的代理过滤服务器后面。每个位置都有一个主要的公共(public) IP 地址，该地址通过代理汇集到网络。每个用户都有一台由雇主发放的 Mac 或 Windows 工作站。

他们遇到的似乎是 cookie 冲突。示例:一个用户在他们的工作站登录，然后另一个用户从同一位置、不同的工作站、相同的操作系统和浏览器类型登录。第二个用户通过接收与第一个用户匹配的新生成的 cookie( token )来接收第一个用户的事件 session 。这似乎只与“authautologin”cookie 有关(在登录屏幕上启用记住我复选框时设置)，但我对从代理缓存的选项保持开放(我无法证明代理正在缓存)。

由于网络设置，服务器会看到数百名用户使用相同的用户代理从相同的 IP 地址登录。我最初的想法是，Kohana v3 生成浏览器(用户代理)独有的 cookie 的方式对于这个真实世界的应用程序来说不够独特。

有没有人遇到过这样的事情？在 cookie 和 session 生成中应该采取什么适当的行动？在数据库中管理 cookie 和事件 session 会更好吗？

  • Kohana 模块:Jelly-Auth、Jelly 和 Auth

  • 服务器:Apache/2.2.9 (Debian) mod_fastcgi/2.4.6 mod_jk/1.2.26 PHP/5.2.6-1+lenny8 with Suhosin-Patch mod_ssl/2.2.9 OpenSSL/0.9.8g

  • 已知浏览器:IE 8 和 9、Firefox(操作系统和 Win)和 Safari(操作系统)

最佳答案

这只是一个想法，但是(取决于您的 Debian 和 PHP 版本)存在/曾经是 PHP session 的错误。我建议你尝试什么:

  1. 检查this link - 这可能与您的问题无关，但值得一试
  2. 切换到数据库驱动程序 - 我认为这将解决所有问题的可能性为 90%
  3. 在不同的 Debian 服务器上进行测试 - 虽然这可能不容易完成

关于php - 保护 Cookie 和 session ，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/8562683/

sessionCookiesection的phpsecuritycookieskohana-3kohana-auth

有关php - 保护 Cookie 和 session的更多相关文章

  1. ruby-on-rails - Rails 优雅地处理超时 session ？ - 2

    使用rails4，ruby2。我在rails配置中为我的cookiesession设置了30分钟的超时时间。问题是，如果我转到表单，让session超时，然后提交表单，我会收到此ActionController::InvalidAuthenticityToken错误。如何在Rails中优雅地处理这个错误？比如说，重定向到登录屏幕？ 最佳答案 在您的ApplicationController:rescue_fromActionController::InvalidAuthenticityTokendoredirect_tosome_p

  2. ruby-on-rails - Rails Cookie 问题 - 2

    我在ruby​​onrails应用程序中有以下新方法:defnewifcookies[:owner].empty?cookies[:owner]=SecureRandom.hexend@movie=Movie.new@movie.owner=cookies[:owner]end基本上，每个新用户都应该获得一个代码来识别他们(尽管只是通过cookie)。因此，当用户创建电影时，创建的cookie将存储在owner字段中。所以有两个问题:使用.empty？方法，当我从浏览器中删除cookie时，返回一个undefinedmethodempty?'对于nil:NilClass`当我确实已经在

  3. ruby-on-rails - 为什么在 Rails 5.1.1 中删除了 session 存储初始化程序 - 2

    我去了这个website查看Rails5.0.0和Rails5.1.1之间的区别为什么5.1.1不再包含:config/initializers/session_store.rb？谢谢 最佳答案 这是删除它的提交:Setupdefaultsessionstoreinternally,nolongerthroughanapplicationinitializer总而言之，新应用没有该初始化器，session存储默认设置为cookie存储。即与在该初始值设定项的生成版本中指定的值相同。 关于

  4. ruby - 如何打印出 Mechanized 存储的 cookie？ - 2

    我正在使用mechanize登录网站，然后检索页面。我遇到了一些问题，我怀疑这是由于cookie中的某些值造成的。当Mechanize登录网站时，我假设它存储了cookie。如何通过Mechanize打印出存储在cookie中的所有数据？ 最佳答案 代理有一个cookie方法。agent=Mechanize.newpage=agent.get("http://www.google.com/")agent.cookiesagent.cookies.to_scookie返回一个Mechanize::Cookiesobject

  5. ruby - Sinatra session 未按预期持续 - 2

    我正在尝试使用Sinatra中的重定向和session在网站周围传递一些数据。这是一个简化的示例，使用PrettyPrint进行调试:require'pp'require'rubygems'require'sinatra'enable:sessionsget'/'dosession[:foo]='12345'puts'session1'ppsessionredirectto('/redir')endget'/redir'doputs'session2'ppsession'helloworld'end查看Thin的输出，我看到:>>Listeningon0.0.0.0:4567,CTRL

  6. ruby-on-rails - 这个 C 和 PHP 程序员如何学习 Ruby 和 Rails？ - 2

    按照目前的情况，这个问题不适合我们的问答形式。我们希望答案得到事实、引用或专业知识的支持，但这个问题可能会引发辩论、争论、投票或扩展讨论。如果您觉得这个问题可以改进并可能重新打开，visitthehelpcenter指导。关闭9年前。我来自C、php和bash背景，很容易学习，因为它们都有相同的C结构，我可以将其与我已经知道的联系起来。然后2年前我学了Python并且学得很好，Python对我来说比Ruby更容易学。然后从去年开始，我一直在尝试学习Ruby，然后是Rails，我承认，直到现在我还是学不会，讽刺的是那些打着简单易学的烙印，但是对于我这样一个老练的程序员来说，我只是无法将它

  7. ruby-on-rails - 自定义设计 Cookie - 2

    我在我的Rails应用程序中使用设计。我在租户庄园中配置了它，其中帐户/session的范围限定为子域。例如:http://subdomain1.example.com/http://subdomain2.example.com/...这很好用，但我想为“super管理员”添加一个子域，允许这些用户导航到所有其他子域而无需重新验证。这将是这样的:http://admin.example.com/是否可以自定义仅在管理子域上生成的cookie，以便它在所有其他子域上都有效？ 最佳答案 Cookie域的定义越不具体，它们的包容性就越大，

  8. ruby - 如何强制 Rack :session + sinatra to read "rack.session" from params instead of cookies - 2

    我正在处理oauth1.0(twitter和flickr)。网站工作在80端口，oauth服务器工作在8080端口算法:向oauth服务器发送ajax请求以检查用户是否有有效的access_token如果用户没有access_token或access_token已过期，则打开授权窗口在oauth服务器的用户session中保存access_token发送分享数据到oauth服务器它使用sinatra+rack:session+rack::session::sequel+sqlite来存储session。它在每个响应中发送Set-Cookie:rack.session=id我正在使用2种

  9. ruby-on-rails - 如何编写 Rails 4 测试以使用 omniauth-google-oauth2 gem 创建 session ？ - 2

    我正在尝试为使用omniauth-google-oauth2gem创建session编写测试。我是否需要将env["omniauth.auth"]变量与post:create一起传递？也许当我试图这样做时，我做错了。我得到的错误如下所示...Rake测试错误1)Error:SessionsControllerTest#test_should_get_create:NoMethodError:undefinedmethod`provider'fornil:NilClassapp/models/user.rb:6:in`from_omniauth'app/controllers/sessi

  10. ruby - session 未创建 : Chrome version must be between - 2

    当使用ruby​​selenium驱动程序驱动chrome时，我得到/home/travis/.rvm/gems/ruby-2.6.2/gems/selenium-webdriver-3.141.5926/lib/selenium/webdriver/remote/response.rb:72:in`assert_ok':sessionnot创建:Chrome版本必须在70和73之间(Selenium::WebDriver::Error::SessionNotCreatedError)如何解决这个问题？降级chrome不是我想做的事。 最佳答案

随机推荐