简介：在基于ZF的应用程序中有关会话使用的问题，提倡使用浏览器的cookie是最佳的实践，而不是把会话的标识符跟在URL后面的方式来追踪用户。Zend_Session组件默认的只有cookie才能保持会话标识符。cookie的值是浏览器会话的唯一标识符。PHP内置的会话模块使用这个标识符以保持站点访问者与每个访问者的持久会话数据之间一对一的关系。Zend_Session组件包装了会话存储器（$_SESSION）并提供了一个面向对象的接口。不幸的是，如果攻击者能访问受害者的cookie值（会话标识符），攻击者就能劫持受害者的会话。这个问题不仅在PHP中存在，在Zend Framework中也存在。regenerateId()方法能使应用程序重新生成会话标识符（储存在访问者的cookie中），标识符为一个随机的、不可预计的值。注意：虽然“用户代理(user agent)”和“Web浏览器(web browser)”不相同，为了使得本章节更易读，我们使用的这两个术语可以互换。

为什么？：如果攻击者获得了受害者有效的会话标识符，攻击者就可能假扮成一个有效的用户（受害者），得到了访问机密信息或者操作受害者在你的应用程序中的数据。更新会话标识符有利于阻碍会话劫持的发生。如果会话标识符改变了，攻击者就不知道新的会话标识，也就不能用新的会话标识劫持受害者的会话了。即使攻击者能够访问旧的会话标识，regenerateId()将会话数据从旧的标识符下移到了新的标识符下，所以通过旧的会话标识符访问不到会话数据。

何时使用regenerateId()：在你的Zend框架程序引导文件中添加Zend_Session::regenerateId ()，以最安全的方式重新生成用户Web浏览器cookie中的会话标识符。如果不需要有条件的判定何时重新生成会话标识符，那么这样的方式就没什么缺陷。虽然在每个请求中重新生成会话标识预防了几种攻击的途径，但是不是每个请求需要这么做。因此，应用程序通常设法动态的确定在有较大风险的情况下，重新生成会话标识符。当站点的访问者权限上升时（比如，访问者在编辑你的个人信息前，要重新验证用户）或者敏感的会话参数发生改变时，可以考虑使用regenerateId()创建新的会话标识符。如果你调用了rememberMe()之后，就不需要调用regeneraterId()，因为前者已经调用了后者。如果用户成功登录了站点，调用rememberMe()方法来取代调用regenerateId()方法。

消除跨站脚本攻击（XSS）漏洞有利于防止会话劫持的发生。根据Secunia的统计，不管使用何种语言创建web应用程序，XSS问题经常发生。期望应用程序不存在跨站脚本攻击漏洞，还不如按照下面的最佳实践最小化损失，当攻击发生时。在跨站脚本攻击中，攻击者不需要直接访问受害者的网络。如果受害者已经存在一个会话 cookie，那么跨站脚本攻击的Javascript脚本会允许攻击者读取受害者的cookie并偷取会话。如果受害者还不存在会话cookie，利用跨站脚本攻击漏洞注入Javascript脚本，攻击者在受害者浏览器上创建一个已知会话标识符的cookie，然后在攻击者的系统中也创建同样的 cookie，这样就劫持受害者的会话。如果受害者访问了攻击者的站点，那么攻击者还能仿真受害者用户代理的一些其他特征。如果你的站点存在着XSS漏洞，攻击者就可能插入一段AJAX脚本，秘密的访问攻击者的站点，导致攻击者知道了受害者的浏览器特征，又知悉受害者站点的会话。然而，倘若站点开发者正确地设置了save_path选项，那么攻击者也不能任意地修改服务器端的PHP会话状态。

当第一次使用用户会话时，调用Zend_Session::regenerateId()不能防止会话固定攻击，除非你能辨别最初的会话是否是攻击者伪装成受害者。初听，这个跟前面所描述的是自相矛盾的，直到我们认为攻击者首先在你的站点上发起了一个真实的会话。如果会话第一次是被攻击者开启的，那么攻击者也就知道了初始化(regenerateId())后的结果（新的会话标识）。攻击者在XSS漏洞中使用这个新的会话标识，或者通过攻击者站点上的链接注入这个新的会话标识（只在use_only_cookies = off时有效）。

如果你能辨别使用相同会话标识符的受害者和攻击者，那么就可以直接处理会话劫持了。然而，这样的区分常常陷于可用性权衡的形式中，因为区别的方法常常是不严密的。举例来说，如果当前请求的IP与创建会话的请求的IP来自不同的国家，那么当前请求大概就是攻击者发起的。在以下的情形下，对于web应用程序就可能很难区别受害者和攻击者了：

下面的代码使得攻击者很难获得受害者当前的会话标识符，除非攻击者已经完成上面的第一二两步。

<?php
require_once 'Zend/Session.php';
$defaultNamespace = new Zend_Session_Namespace();
 
if (!isset($defaultNamespace->initialized))
{ 
    Zend_Session::regenerateId(); 
    $defaultNamespace->initialized = true;
} 
?>