PHP中Session ID的实现原理

Dear 丶 2022-08-23 14:46 150阅读 0赞

可能PHP开发者心中多少都思考过这么两个问题：

> 1.  种植在客户端浏览器中的PHPSESSIONID会出现重复吗？
> 2.  PHPSESSIONID安全性如何，有没可能被黑客轻易的仿造呢？

带上这个问题，我稍微注意了一下PHP的源码后，疑问也就有了答案。

PHP在使用默认的 session.save\_handler = files 方式时，PHPSESSIONID的生产算法原理如下：

> hash\_func = md5 / sha1 \#可由php.ini配置  
> **PHPSESSIONID = hash\_func(客户端IP + 当前时间（秒）+ 当前时间（微妙）+ PHP自带的随机数生产器)**

从以上hash\_func(\*)中的数据采样值的内容分析，多个用户在同一台服务器时所生产的PHPSESSIONID重复的概率极低（至少为百万份之一），设想，但台动态Web Server能到2000/rps已经很强悍了。

另外，黑客如果要猜出某一用户的PHPSESSIONID，则他也必须知道“客户端IP、当前时间（秒、微妙）、随机数”等数据方可模拟。

以下是截取PHP源码中PHPSESSIONID实现片段：

gettimeofday (&tv, **NULL** );

if (  
zend\_hash\_find(&EG(symbol\_table), "\_SERVER", sizeof("\_SERVER"), (void \*\*) &array) == SUCCESS &&  
Z\_TYPE\_PP(array) == IS\_ARRAY && zend\_hash\_find(Z\_ARRVAL\_PP(array), "REMOTE\_ADDR", sizeof("REMOTE\_ADDR"), (void \*\*) &token) == SUCCESS)  
\{   
    remote\_addr = Z\_STRVAL\_PP(token);  
\}

*/\* maximum 15+19+19+10 bytes \*/*  
spprintf(&buf, 0, "%.15s%ld%ld%0.8F", remote\_addr ? remote\_addr : "", tv.tv\_sec, (long int)tv.tv\_usec, php\_combined\_lcg(TSRMLS\_C) \* 10);

switch (PS(hash\_func))  
\{   
case PS\_HASH\_FUNC\_MD5:  
    PHP\_MD5Init(&md5\_context);  
    PHP\_MD5Update(&md5\_context, (unsigned char \*) buf, strlen(buf));  
    digest\_len = 16;  
    **break**;  
case PS\_HASH\_FUNC\_SHA1:  
    PHP\_SHA1Init(&sha1\_context);  
    PHP\_SHA1Update(&sha1\_context, (unsigned char \*) buf, strlen(buf));  
    digest\_len = 20;  
    **break**;  
default:  
    php\_error\_docref(**NULL** TSRMLS\_CC, E\_ERROR, "Invalid session hash function");  
    efree(buf);  
    return **NULL**;  
\}