如果客户端禁止cookie能实现session还能用吗？

坦白说，客户端禁用cookie后，session仍然可以使用，但必须手动将session ID输入到URL或表单中。
这个事情的复杂性在于如何在不泄露数据的情况下防止数据被盗。

我们先来说说最重要的重写URL的方法。
去年运行该项目时我们对此很着迷。
例如，您的锚点是 page.php?PHPSESSID=abc1 2 3 每个请求都会获取 abc1 2 3 以允许服务器识别您的身份。
实现很简单，只需在PHP中的session_start()后面的URL中插入session_id()即可。
但有一个问题：当URL太长或包含中文字符时，浏览器可能会直接4 04 另一点是，这种方法不是特别适合SEO。
搜索引擎抓取工具不会使用会话 ID 来抓取您的内容。
起初，我认为这可以通过 JavaScript 重定向来完成，但后来我发现这是一个错误。
在客户端禁用cookie也意味着浏览器不执行JS。

还有另一个重要的细节。
会话 ID 还可以使用隐藏表单字段来传递，这对于 POST 请求特别方便。
例如，如果您在表单中添加 <input type="hidden" name="PHPSESSID" value="abc1 2 3 ">，则提交时将获取该 ID。
但说实话，这很烦人。
如果用户再次刷新页面，Session ID可能会发生变化，体验会很差。
HTTP头传输会话标识符比较高级，需要定制开发，并不是所有客户端都支持。

等等，还有别的事。
无论使用哪种方法，会话 ID 拦截的风险都会加倍。
去年，一位客户就陷入了这个陷阱。
有人使用抓包器直接窃取Session ID并登录后端。
因此，会话ID必须得到保护：设置较短的生命周期，强制使用HTTPS，最好使用session_regenerate_id()定期更改ID。
很多人不注重这一点，以为只要过了就万事大吉了。

我认为值得尝试 URL 重写。
很简单很简单，但是你需要添加一个安全检查：例如，如果你发现一个带有session ID的请求，你可以直接进入HTTPS 3 01 版本，或者你可以检查referrer header是否是你的域名。
如果请求被转发，会话将被强制离线。

sessionid如何php获取

上周我尝试使用 PHP 来获取 SessionID。

让我们先看看步骤。

1 .必须使用Session_start()。

PHP <?php 会话开始（）； ?>
2 . 重用session_id()。

PHP <?php $sessionId = session_id(); echo "当前会话的SessionID: " . $会话ID； ?>
重要提示：

session_id()必须在session_start()之后使用。


默认的 SessionID 位于 PHPSESSID Cookie 中。


您可以使用session_id（“自定义ID”）来保留ID。

有效期为session.gc_maxlifetime。

不是SessionID的有效期。

完整代码：
php <?php 会话开始（）； $currentSessionId = session_id(); 回显“会话ID：”。
特殊字符($currentSessionId, ENT_QUOTES); ?>
会话 ID 为空？检查 session_start() 是否泄漏。

安全吗？不要将 SessionID 直接暴露给用户。

分布式环境？将 session.save_handler 设置为数据库。

就是这样。

PHP会话控制-Session

PHP 中的会话是一种在服务器端存储用户数据的机制。
当用户访问 PHP 页面时，服务器会创建一个唯一的 SessionID。
SessionID 通过 cookie 发送到浏览器，浏览器自动将其发送回服务器以供以后请求。
服务器通过SessionID识别用户并从服务器端存储中检索会话数据。

Session提供了很高的安全性，数据存储在服务器端，比客户端的cookie更安全。
即使cookie被篡改，攻击者也很难猜出SessionID。
但是，如果攻击者收到有效的 SessionID（例如，在 XSS 攻击中），他们就可以冒充用户并充当用户。

使用Session的基本步骤： 1 . 在输出之前调用session_start()初始化会话。
2 . 使用$_SESSION 超全局数组来存储和检索数据。
3 . 当用户离开会话时，调用session_destroy()销毁会话。

注意事项： 1 、session_start()之前不能有任何输出，否则可能会出现“Header已经发送”的错误。
2 . 默认情况下，会话数据存储在服务器上的临时文件中，并且可以自动清理。
3 . 在生产环境中配置会话安全设置，例如： B. 设置Cookie的HttpOnly和Secure标志，并使用SSL/TLS加密数据传输。

SessionID是唯一的，由服务器生成。
保护SessionID的安全非常重要。