PHP 基於 Session 與 Cookie 的用戶認證類深度解析與最佳實踐

前言

用戶認證是 Web 應用的基石。本文在上一篇雙重驗證方案基礎上，進一步深入剖析 Session 與 Cookie 的本質區別、安全攻防細節、分佈式架構下的 Session 共享方案，並提供生產級代碼架構參考。

Session vs Cookie：本質區別深度解析

Session 劫持與固定攻擊實戰防護

攻擊場景復現

<?php
// 攻擊者構造鏈接誘導受害者點擊
// https://victim.com/login.php?PHPSESSID=attacker_known_id
// 受害者登錄後，攻擊者使用同一 Session ID 即可劫持會話

// 防護：啟用 strict_mode + 登錄後強制重生成 ID
ini_set('session.use_strict_mode', '1');
// 登錄成功後
session_regenerate_id(true); // 刪除舊 Session 文件
?>

完整防護中間件

<?php
namespace App\Middleware;

class SessionSecurityMiddleware {
    public function handle(callable $next): void {
        // 1. 啟用安全配置（僅執行一次）
        static $initialized = false;
        if (!$initialized) {
            ini_set('session.cookie_httponly', '1');
            ini_set('session.cookie_secure', isset($_SERVER['HTTPS']) ? '1' : '0');
            ini_set('session.cookie_samesite', 'Lax');
            ini_set('session.use_strict_mode', '1');
            ini_set('session.use_trans_sid', '0'); // 禁用 URL 透傳 SID
            ini_set('session.hash_function', 'sha256');
            ini_set('session.hash_bits_per_character', '5');
            $initialized = true;
        }

        // 2. 檢測 Session 劫持指標
        $this->detectHijacking();

        // 3. 定期輪換 Session ID（每 30 分鐘或關鍵操作後）
        $this->rotateIfNeeded();

        $next();
    }

    private function detectHijacking(): void {
        $fp = $_SESSION['__fingerprint'] ?? null;
        $current = $this->generateFingerprint();
        
        if ($fp && !hash_equals($fp, $current)) {
            // 指紋不匹配：可能被劫持
            error_log("Session 劫持嘗試: " . session_id());
            session_destroy();
            throw new \Exception('會話異常，請重新登錄');
        }
        
        $_SESSION['__fingerprint'] = $current;
    }

    private function generateFingerprint(): string {
        // 綁定 User-Agent + IP 前綴（避免動態 IP 導致誤判）
        $ipPrefix = implode('.', array_slice(explode('.', $_SERVER['REMOTE_ADDR'] ?? ''), 0, 2));
        $ua = $_SERVER['HTTP_USER_AGENT'] ?? '';
        return hash('sha256', $ipPrefix . '|' . $ua);
    }

    private function rotateIfNeeded(): void {
        $lastRotate = $_SESSION['__rotate_at'] ?? 0;
        if (time() - $lastRotate > 1800) { // 30 分鐘
            session_regenerate_id(true);
            $_SESSION['__rotate_at'] = time();
        }
    }
}
?>

分佈式架構下的 Session 共享方案

方案對比

Redis Session 實現

<?php
namespace App\Session;

class RedisSessionHandler implements \SessionHandlerInterface {
    private \Redis $redis;
    private string $prefix;
    private int $ttl;

    public function __construct(\Redis $redis, string $prefix = 'sess:', int $ttl = 7200) {
        $this->redis = $redis;
        $this->prefix = $prefix;
        $this->ttl = $ttl;
    }

    public function open($savePath, $sessionName): bool { return true; }
    public function close(): bool { return true; }

    public function read($sessionId): string {
        $key = $this->prefix . $sessionId;
        $data = $this->redis->get($key);
        return $data ?? '';
    }

    public function write($sessionId, $data): bool {
        $key = $this->prefix . $sessionId;
        return $this->redis->setex($key, $this->ttl, $data);
    }

    public function destroy($sessionId): bool {
        $key = $this->prefix . $sessionId;
        return (bool) $this->redis->del($key);
    }

    public function gc($maxLifetime): int|false {
        // Redis 自動過期，無需掃描
        return 0;
    }
}

// 註冊
$redis = new \Redis();
$redis->connect('127.0.0.1', 6379);
$handler = new RedisSessionHandler($redis);
session_set_save_handler($handler, true);
session_start();
?>

Cookie 安全屬性完整配置

<?php
function setSecureCookie(
    string $name,
    string $value,
    int $expire = 0,
    string $path = '/',
    string $domain = '',
    bool $secure = true,
    bool $httponly = true,
    string $samesite = 'Lax'
): void {
    $options = [
        'expires' => $expire,
        'path' => $path,
        'domain' => $domain,
        'secure' => $secure,
        'httponly' => $httponly,
        'samesite' => $samesite,
    ];
    
    // PHP 7.3+ 支持 options 參數
    if (PHP_VERSION_ID >= 70300) {
        setcookie($name, $value, $options);
    } else {
        // 兼容舊版本
        $cookie = $name . '=' . rawurlencode($value);
        $cookie .= '; Max-Age=' . ($expire - time());
        $cookie .= '; Path=' . $path;
        if ($domain) $cookie .= '; Domain=' . $domain;
        if ($secure) $cookie .= '; Secure';
        if ($httponly) $cookie .= '; HttpOnly';
        $cookie .= '; SameSite=' . $samesite;
        header('Set-Cookie: ' . $cookie, false);
    }
}
?>

總結：認證架構選型決策樹

graph TD
    A[項目類型] -->|傳統 Web 多頁面| B[Session + Redis]
    A -->|API/SPA/微服務| C[JWT + 短期 Access Token + Refresh Token]
    A -->|混合架構| D[Session(Web) + JWT(API)]
    
    B --> E{併發量}
    E -->|高| F[Redis Cluster + 本地緩存]
    E -->|中低| G[單機 Redis + 持久化]
    
    C --> H{撤銷需求}
    H -->|強撤銷| I[Redis 黑名單 + 短過期]
    H -->|弱撤銷| J[純 JWT 短過期]

核心原則：敏感操作用 Session，跨域無狀態用 JWT，記住我用簽名 Cookie，集群必上 Redis，安全屬性全開啟。