會話數據暴露

  會話數據常會包含一些個人信息和其它敏感數據。基于這個原因，會話數據的暴露是被普遍關心的問題。一般來說，暴露的范圍不會很大，因為會話數據是保存在服務器環境中的，而不是在數據庫或文件系統中。因此，會話數據自然不會公開暴露。

  使用SSL是一種特別有效的手段，它可以使數據在服務器和客戶端之間傳送時暴露的可能性降到最低。這對于傳送敏感數據的應用來說非常重要。SSL在HTTP之上提供了一個保護層，以使所有在HTTP請求和應答中的數據都得到了保護。

  如果你關心的是會話數據保存區本身的安全，你可以對會話數據進行加密，這樣沒有正確的密鑰就無法讀取它的內容。這在PHP中非常容易做到，你只要使用session_set_save_handler( )并寫上你自己的session加密存儲和解密讀取的處理函數即可。關于加密會話數據保存區的問題，參見附錄C。