我一直致力于我网站 (PHP) 的安全性工作，并且有大量信息需要摄取。我已尝试实现我在 OWASP 上研究过的安全性，但是我有点紧张的一件事是当用户注销时如何处理 SESSIONS。

目前我使用的是:

session_destroy();

但是，我读到我应该更改 XRSF token 并启动另一个 SESSION，这样它会强制用户重新提交登录凭据，进而明确结束用户 SESSION。

session_destroy() 够了吗？

编辑

我已经下载了 michael-the-messenger ，我相信它是由 Michael Brooks (Rook) 创建的，应该非常安全，而且我看到了一些我可能想使用的代码。这是可以安全地替换我正在使用的 session_destroy() 的东西吗？

代码

if($_SESSION['user']->isAuth())
{
    /* if they have clicked log out */
    /* this will kill the session */
    if($_POST['LogMeOut'] == 'true')
    {
        //When the user logs out the xsrf token changes.
        $tmp_xsrf = $_SESSION['user']->getXsrfToken();
        $_SESSION['user']->logout();
        $loginMessage = str_replace($tmp_xsrf, $_SESSION['user']->getXsrfToken(), $loginMessage);
        print layout('Authorization Required', $loginMessage);
    }
    else
    {
        header("Location: inbox.php");
        //user is allowed access. 
    }
}
else
{
    // code goes on ....

注销

public function logout()
{
    $_SESSION['user'] = new auth();
}

显然 $_SESSION['user'] = new auth(); 重新实例化了将私有(private)变量 $auth 设置为 false 的对象。

最佳答案

but one thing I'm a little nervous about, among other things, is how to handle SESSIONS when the user logs out.

根据 manual :

In order to kill the session altogether, like to log the user out, the session id must also be unset. If a cookie is used to propagate the session id (default behavior), then the session cookie must be deleted. setcookie() may be used for that.

因此，为了安全地销毁 session ，我们还将在客户端计算机上将其删除。

session_destroy() 和 setcookie(session_name(), null, time() - 86400) 会做到这一点。

除此之外，

你做错了什么以及为什么:

Session storage merely uses data serialization internally. By storing an object in the $_SESSION superglobal you just do serialize/unserialize that object on demand without even knowing it.

1) 通过在 $_SESSION 中存储一个对象，您确实引入了全局状态。 $_SESSION 是一个超全局数组，因此可以从任何地方访问。

2) 即使通过存储一个对象来保存有关已登录用户的信息，您也会浪费系统内存。对象表示的长度总是大于字符串的长度。

但是你到底为什么要关心包装 session 功能呢？嗯，

• 它使代码易于阅读、维护和测试
• 遵守Single-Responsibility Principle
• 它避免了全局状态(如果使用得当)，您将不会以 $_SESSION['foo'] 的方式访问 session ，而是以 $session->read['foo']
• 您可以轻松更改其行为(例如，如果您决定使用数据库作为 session 存储)，甚至不会影响应用程序的其他部分。
• 代码重用能力。您可以将此类用于其他应用程序(或其中的一部分)

如果你把所有与session相关的功能包装到一个signle类中，那么它会变得很有吸引力:

$session = new SessionStorage();

$session->write( array('foo' => 'bar') );

if ( $session->isValid() === TRUE ) {

    echo $session->read('foo'); // bar

} else {

    // Session hijack. Handle here
}

// To totally destroy a session:
$session->destroy();


// if some part of your application requires a session, then just inject an instance of `SessionStorage`
// like this:
$user = new Profile($session);


// Take this implementation as example:

final class SessionStorage
{
    public function __construct()
    {
        // Don't start again if session is started:
        if ( session_id() != '' ) {
            session_start();
        }

        // Keep initial values
        $_SESSION['HTTP_USER_AGENT'] = $_SERVER['HTTP_USER_AGENT'];
        $_SESSION['REMOTE_ADDR'] = $_SERVER['REMOTE_ADDR'];
    }

    /**
     * You can prevent majority of hijacks using this method
     * 
     * @return boolean TRUE if session is valid
     */
    public function isValid()
    {
        return $_SESSION['HTTP_USER_AGENT'] === $_SERVER['HTTP_USER_AGENT'] && $_SESSION['REMOTE_ADDR'] === $_SERVER['REMOTE_ADDR'] ;
    }


    public function __destruct()
    {
        session_write_close();
    }

    /**
     * Fixed session_destroy()
     * 
     * @return boolean
     */
    public function destroy()
    {
        // Erase the session name on client side
        setcookie(session_name(), null, time() - 86400);

        // Erase on the server
        return session_destroy();
    }


    public function write(array $data)
    {
        foreach($data as $key => $value) {
            $_SESSION[$key] = $value;
        }
    }


    public function exists()
    {
        foreach(func_get_args() as $arg){

            if ( ! array_key_exists($arg, $_SESSION) ){
                return false;
            }
        }

        return true;
    }

    public function read($key)
    {
        if ( $this->exists($key) ){

            return $_SESSION[$key];

        } else {

            throw new RuntimeException('Cannot access non-existing var ' .$key);
        }
    }

}

关于php - 如何正确结束用户 session ？，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/16264530/