Trợ giúp phiên CodeIgniter, cookie không an toàn?

Question

Tôi chỉ tìm hiểu về phiên và cho mục đích của mình, tôi muốn tạo thứ gì đó theo yêu cầu của khách hàng, máy chủ xác thực người dùng đó và chỉ thực hiện xử lý dữ liệu cho người dùng đó.

Tuy nhiên, tôi đã thấy rất nhiều ví dụ với CodeIgniter hợp phiên được thiết lập là như sau:

$this->load->library('session'); 

$newdata = array(
       'username' => 'johndoe', 
       'email'  => 'johndoe@some-site.com', 
       'logged_in' => TRUE 
      ); 

$this->session->set_userdata($newdata); 

Tuy nhiên, không thể một người nào đó chỉ cần tạo một cookie trên máy tính của họ với tên người dùng thông thường và trạng thái 'logged_in' thành true và đột nhiên bạn được xác thực mà không có mật khẩu? Điều này có vẻ như một lỗ hổng bảo mật đối với tôi, nhưng tôi thấy rất nhiều ví dụ như thế này.

Cách thích hợp để xác thực người dùng trên mỗi yêu cầu là gì?

Answer 1

Trong tệp ứng dụng/config/config.php của trình cài đặt mã hóa của bạn, bạn có thể chọn mã hóa cookie của mình.

$config['sess_cookie_name'] = 'ci_session'; 
$config['sess_expiration'] = 7200; 
$config['sess_encrypt_cookie'] = TRUE; // set from false to TRUE 

Khi điều này được đặt, phương thức set_userdata() và userdata() sẽ xử lý minh bạch mã hóa và giải mã dữ liệu phiên.

Một danh sách đầy đủ các tùy chọn cấu hình phiên CodeIgniter là ở dưới cùng của trang này:

http://codeigniter.com/user_guide/libraries/sessions.html

Answer 2

Nếu bạn muốn tăng bảo mật, bạn có thể chọn để lưu trữ dữ liệu phiên trong cơ sở dữ liệu bằng cách sửa đổi dòng sau trong CodeIgniter bạn config.php:

$config['sess_use_database'] = TRUE; 
$config['sess_table_name']  = 'ci_sessions'; 

sau đó, chỉ cần tạo bảng sau:

CREATE TABLE IF NOT EXISTS `ci_sessions` (
    session_id varchar(40) DEFAULT '0' NOT NULL, 
    ip_address varchar(16) DEFAULT '0' NOT NULL, 
    user_agent varchar(120) NOT NULL, 
    last_activity int(10) unsigned DEFAULT 0 NOT NULL, 
    user_data text NOT NULL, 
    PRIMARY KEY (session_id), 
    KEY `last_activity_idx` (`last_activity`) 
);