关于PHP的session登录的安全问题作者：一只风筝

第一种方法：一个标准的HTTP请求中除了host等头部必须信息，还可能包含一些可选的头部

Accept:text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,*/*;q=0.8  
Accept-Encoding:gzip, deflate, sdch  
Accept-Language:zh-CN,zh;q=0.8,en;q=0.6,zh-TW;q=0.4  
Cache-Control:max-age=0  
Connection:keep-alive  
Cookie:CNZZDATA155540=cnzz_eid%3D1361932985-1429108221-%26ntime%3D1429194688; _ga=GA1.1.530260614.1432539843; PHPSESSID=774v47f1jfgjetofpfns9bcgd1  
Host:192.168.199.121  
User-Agent:Mozilla/5.0 (Macintosh; Intel Mac OS X 10_10_3) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/43.0.2357.65 Safari/537.36  

user_agent这个使我们需要的信息，如果一个用户的浏览器发送这些数据到服务器，那么接下来同一个用户还是发送同样的数据到服务器中，如果两次发送的头部信息不一样，则可能判定这次请求来自攻击者，可以在系统中加入如下代码
<?phpsession_start();

if(md5($_SERVER['HTTP_USER_AGENT']) != $_SESSION['HTTP_USER_AGENT]){  

echo '请求有问题';exit;

}

//在初始化的时候用md5加密保存user_agent信息

$_SESSION['HTTP_USER_AGENT'] = md5($_SERVER['HTTP_USER_AGENT']);

第二种方法，利用头信息生成一个token，在用户以后的请求中加入这个token

<?php

session_start();

$token = 'salt' . $_SERVER['HTTP_USER_AGENT'];
$_SESSION['token'] = md5($token);
时间：2017-1-10 分类：网站 标签:

返回顶部返回首页