Ràng buộc địa chỉ IP với id phiên

Question

Để ngăn sự cố phiên làm việc, làm thế nào chúng ta có thể liên kết địa chỉ IP với id phiên? Có thể liên kết id phiên với địa chỉ IP không?

Answer 1

Bạn có thể, nhưng đó không phải là ý tưởng hay. Nếu khách hàng của bạn ở phía sau trang trại proxy, địa chỉ IP bên ngoài của họ có thể thay đổi theo mọi yêu cầu. AOL làm điều này, ví dụ.

Answer 2

Tôi không nghĩ rằng đây là một ý tưởng hay. Yêu cầu tiếp theo từ cùng một người dùng có thể không nhất thiết đến từ cùng một địa chỉ IP vì yêu cầu có thể đến từ một proxy khác. IIRC này từng là trường hợp của tất cả người dùng AOL và có thể là trường hợp đối với các nhà cung cấp khác hoặc một số mạng công ty.

Tốt hơn là nên bảo mật phiên của bạn với page tokens để ngăn chặn mức cao một phiên.

Answer 3

http://en.wikipedia.org/wiki/Session_fixation

if($_SERVER['REMOTE_ADDR'] != $_SESSION['PREV_REMOTEADDR']) { 
    session_destroy(); // destroy all data in session 
} 
session_regenerate_id(); // generate a new session identifier 
$_SESSION['PREV_REMOTEADDR'] = $_SERVER['REMOTE_ADDR']; 

Answer 4

Tôi đã đọc một số bài viết về nó trước đây. có thể bạn kiểm tra địa chỉ IP của người dùng dưới dạng dữ liệu meta phiên bổ sung. nhưng nếu bạn muốn sử dụng nó làm ID phiên chung, bạn có thể gặp sự cố để xử lý người dùng phía sau một cổng proxy cụ thể, nơi tất cả người dùng sẽ có cùng một địa chỉ IP. mặc dù nó có thể được sử dụng để ngăn chặn hành vi trộm cắp phiên (sử dụng các kỹ thuật như cookie highjacking) cho một số cấp độ. nhưng nó nên được xem xét rằng các hijacker cookie cũng có thể bắt chước địa chỉ IP của nạn nhân. vì vậy việc kiểm tra phiên người dùng và địa chỉ IP có thể là một phương pháp hay để có độ bảo mật cao hơn, nhưng không phải là giải pháp chống đạn.