如何使session 不会被劫持?

不懂你说什么。
不过header是可以模拟成合法的。

解决方案 »

  1.   

    我的意思是: 客户端的session,可能被第3方劫持(hijack),怎样才可以避免这样的情况.谢谢了
      

  2.   

    记录session的同时记录ip就不可能被劫了。对方即使同时可以模拟出session_id和ip也收不到需要的信息。
      

  3.   

    客户端的session?还是cookie中的session_id?还是cookie?
      

  4.   

    session id 的随机性足够强壮既可
      

  5.   

    没有绝对安全的办法，多用几个session应该就能大大提高模拟的难度
      

  6.   

    记录session的同时记录ip就不可能被劫了???是说把ip 记录在session中吗???
      

  7.   

    把session_id和ip一一对应起来,一发现不同立即删除此session要求重新登录。记录在什么地方都无太大关系，可以自行把握。这样对方如果不是用登录的那台机子，用别的机器就算模拟了session_id也会立即被发现，断开。即使他模拟了session_id和ip(同时模拟session_id和ip已经接近不可能了)。他也因为ip的缘故收不到任何返回信息。
      

  8.   

    达人,谢谢你啊,我是菜鸟,可不可以被个code看看,急啊!!!!
      

  9.   

    把ip记录在session中
    登录页
    -------------------------
    session_start();
    if(用户名密码正确){
      $_SESSION['ip']=$_SERVER['REMOTE_ADDR'];
    }验证页
    -------------------------
    session_start();
    if(!isset($_SESSION['ip']) || $_SESSION['ip']!=$_SERVER['REMOTE_ADDR']){
      echo "请先登录";
      session_destroy();
      exit;
    }
    echo "用户已登录";