保证会议

Question

我知道传统上不会使用这种方式（或者可能是这样），但我一直在学习webapp安全性，并且认为听取SO专家对本文的看法会很好并且鼓舞人心（我现在正在读它，这是关于会话安全性的）。

http://carsonified.com/blog/dev/how-to-create-bulletproof-sessions/

也许我们可以进行某种讨论，指出作者错误/遗忘的内容以及有哪些更好的做法？

例如，当涉及到sql注入等不同的安全主题时，许多人推荐像mysql_real_escape_strings这样的东西，但专家会告诉你没有什么比准备好的语句更好。从评论中看，这篇文章似乎有它的问题，所以我想知道他的内容在好的或坏的方面有多远。

Answer 1

我认为这篇文章相当不错，但这些只是基本概念，如果有人认真尝试制作一个严肃的安全感知应用程序，那么这样的事情就会得到解决。换句话说，文章的水平很低。

这里没有解决类似中间人攻击的问题（尽管我可以想象这样的事情通常超出了应用层的范围）。另一个可能的漏洞可能是随机数生成。因此，根据会话密钥生成的实现，会话密钥的熵可能会低得多，因为最大可能的熵可能会或可能不会使暴力攻击成为可能。

因此，它实际上取决于您拥有解决方案的安全要求，没有一种安全解决方案适用于所有情况。要应用后者，假设您有一个有效的会话ID，并且您知道会话绑定到哪个IP。还假设此示例中的目标是银行。现在我可以执行将钱转移到我的帐户的请求，并通过欺骗我的IP地址和提供被盗会话来完成这项工作。好的，我的请求的回复永远不会到来，因为IP地址是欺骗性的，但是谁在乎，我收到了钱，因为服务器接受了我的请求。

重点是，根据上下文，您的安全要求以及安全解决方案可能会有很大差异。