PHP Session Security на облачном хостинге

Question

Я знаю, что на обычном виртуальном хостинге хранение сеансов PHP в расположении по умолчанию (/ tmp) может представлять проблемы с безопасностью. VPS не имеет этой проблемы. Поэтому я предполагаю, что облачного хостинга VPS нет. Но как насчет обычного облачного хостинга? Является ли это просто общим хостингом на нескольких компьютерах, а это означает, что сеансы PHP по-прежнему будут уязвимы для посторонних глаз других клиентов веб-хостинга в этом облаке? Или есть что-то другое в облачном хостинге (не VPS), который защищает от уязвимостей, связанных с расположением хранилища PHP?

Answer 1

Общий хостинг просто означает, что ваш хостинг-провайдер размещает несколько веб-сайтов на одном сервере.

Облачный хостинг использует ту же концепцию и на самом деле является просто еще одним типом общего хостинга, но с большей масштабируемостью вверх и вниз.

Одна проблема с общим хостингом заключается в том, чтов контексте одного сервера существует фиксированный объем физического пространства.Хотя хостинг-провайдер будет предоставлять свои серверы таким образом, чтобы у вас не возникало проблем с пропускной способностью, проблема все еще остается.Облачный хостинг устраняет эту возможность, заменяя концепцию отдельного физического сервера на виртуализированную и масштабируемую инфраструктуру.

Но безопасность все еще является проблемой в облачном хостинге,Разница лишь в том, что ваши файлы хранятся на нескольких серверах.И вы не знаете и не доверяете, где хранятся файлы.Поэтому для лучшей обработки и безопасности сеансов я посоветую вам использовать базу данных для хранения и управления сеансами по следующим причинам.

1. Только у вас есть доступ к данным сеанса. На общем хостинге это можеточень вам поможет.

2. Каждый сервер будет иметь свой собственный каталог, в котором хранятся эти файлы сеансов, поэтому, если вы используете балансировку нагрузки между несколькими серверами, нет гарантии, что запрос насуществующий сеанс будет передан серверу, который поддерживает состояние этого сеанса.

3. Администратору сайта будет трудно выполнить такие запросы, как «сколько сеансов в настоящее время активно?"или «какие пользователи в настоящее время вошли в систему?». Но если вы храните в базе данных, вы можете отслеживать.

4. Приложение должно быть в состоянии работать на нескольких серверах без привязки к серверу.

Здесь - отличная статья Криса Шифлетта о хранении сессий в базе данных.

Надеюсь, это поможет.

Answer 2

Я могу ошибаться, но большинство сервисов "облачного хостинга", как в , а не сервисе "VPS", это просто виртуальный хостинг на облачном сервере, который масштабируется по мере необходимости.

Единственный раз, когда я нахожу хранение сеансов, скажем, например, "/ temp", защищенным, это когда я единственный, кто использует сервер.