secure - Configure httpOnly y asegure la cookie PHPSESSID en PHP

session cookie_httponly php

Question

¿Cuál es la forma recomendada de establecer marcas httponly y de seguridad en la cookie PHPSESSID?

Encontré http://www.php.net/manual/en/session.configuration.php#ini.session.cookie-httponly . ¿Alguna sugerencia mejor?

Gracias

Answer 1

El uso de .htaccess para este propósito solo ralentiza su aplicación.

Creo que es mejor agregar este fragmento de código en su archivo de configuración principal (ejemplo config.php) o en el archivo de inclusión principal (ejemplo global.php)

 // Prevents javascript XSS attacks aimed to steal the session ID
ini_set(''session.cookie_httponly'', 1);
// Prevent Session ID from being passed through URLs
ini_set(''session.use_only_cookies'', 1);

Si está utilizando https: // en lugar de http: //, entonces también

 // Uses a secure connection (HTTPS)
ini_set(''session.cookie_secure'', 1);

Este método también es adecuado para aquellos que no tienen acceso a php.ini

Answer 2

En mi opinión, lo mejor sería: http://www.php.net/manual/en/function.session-set-cookie-params.php

void session_set_cookie_params ( int $lifetime [, string $path [, string $domain [, bool $secure = false [, bool $httponly = false ]]]] )

Answer 3

No pude obtener el indicador de seguridad trabajando con session_set_cookie_params(...) , así que lo que hice fue que, después de session_start() configuré la cookie PHPSESSID, la setcookie(...) con setcookie(...) . El parámetro final, verdadero, hace que la cookie tenga una marca segura.

<?php
session_start();
$currentCookieParams = session_get_cookie_params();
$sidvalue = session_id();
setcookie(
''PHPSESSID'',//name
$sidvalue,//value
0,//expires at end of session
$currentCookieParams[''path''],//path
$currentCookieParams[''domain''],//domain
true //secure
);
?>

Cuando verifiqué la cookie PHPSESSID en Firefox, su propiedad ''Enviar para'' se configuró como ''Solo conexiones cifradas'' y su propiedad ''Caduca'' se configuró como ''Al final de la sesión''.

Answer 4

Si está utilizando Apache, intente esto en su .htaccess

php_value session.cookie_httponly 1

Answer 5

Utilizo Apache httpd sobre HTTPS, set session.cookie_httponly = 1 & session.cookie_secure = 1 funciona para mí.

Answer 6

ini_set(''session.cookie_httponly'', 1);

http://www.php.net/manual/en/session.configuration.php#ini.session.cookie-httponly en los documentos PHP