セッションID管理は結局どうすれば良いのか？

(Last Updated On: 2018年8月18日)脆弱性やセキュリティ対策について技術的な話ばかりしていたので「それで結局PHPのセッション管理どうすれば良いの？」と思われた方も多いと思います。簡単にまとめます。漏れや追記した方が良い事などがあったらご指摘ください。 session_regenerate_id()の使い方（セッションID再生成） ログイン処理時・ログアウト処理には最初にsession_regenerate_idを呼ぶ。 定期的にsession_regenerate_idを呼ぶ。間隔が短いほど低リスク。 session_regenerate_idはtrueオプション（古いセッションデータ削除）を付ける。 session_regenerate_idでtrueオプションは付けない。その代わりに再生成した時点のタイムスタンプを古いセッションデータに記録し、数分後からそのセッ

[gratt]

いいまとめ？

[oppara]

セッションID管理は結局どうすれば良いのか？

[k-holy]

"PHPスクリプトでセーブハンドラを作っている方は、READ時にセッションIDの確認を行う"session.entropy_file,session.entropy_length,session.hash_bits_per_characterも要チェック