базовый ssl с php

Question

хорошо

1. - это сеансы в http://example.com/login - это то же самое , что и https://example.com/login?

2. вчера вечеромсделал поток о php-сессиях пустым с помощью ssl? и оказалось, что мой ssl работает, но мы должны сначала попасть на страницу ssl, как https://url.com/test, а затем https://url.com/test2Мы не можем сделать http://url.com/test, затем http://url.com/test2 (работает), затем https://url.com/test2 или наоборот.мы можем сделать это, но мы должны сначала удалить куки. как мы можем заставить его работать по http и https без перезапуска cookie ?если вы, ребята, знаете github, как они это делают?они сохраняют сеанс с помощью корневого документа, а не домена (https to http)?

3. Есть ли что-то еще, что мне нужно знать перед внедрением ssl или, может быть, какие-то советы?] Спасибо за внимание

Адам Рамадан

Answer 1

1. Они должны быть одинаковыми, но может случиться так, что у вас установлен «безопасный» бит в куки-файлах сеанса PHP.Это означает, что cookie-файл сеанса будет отправляться только при наличии SSL-соединения.Смотрите session_set_cookie_params для получения дополнительной информации.

2. Помните всю проблему Facebook / Firesheep ?Короче говоря: ваши сеансы могут быть уязвимы для перехвата сеансов, если вы разрешаете пользователям переключаться с HTTPS на HTTP при входе в систему. Возможно, вы на самом деле не хотите делать это.Таким образом, вы захотите установить флаг «secure» для вашего куки-файла сессии, используя session_set_cookie_params ().Обходной путь для вошедших в систему пользователей состоит в том, чтобы устанавливать простой (с установленным в качестве флага безопасности значение false) cookie-файл всякий раз, когда пользователь входит в систему, просто содержащий флаг "user_was_logged_in".Затем добавьте код, который ищет этот файл cookie, и, когда он его находит, он просто перенаправляет пользователя обратно на HTTPS-версию сайта.

3. Убедитесь, что ваш пользователь не может случайно удалить его.вернуться в HTTP, когда на HTTPS, когда делаешь деликатные вещи.Если они это сделают, они должны быть отправлены обратно на сайт HTTPS, прежде чем перейти к или обработать запрос.