Symfony 1.4 Re-Creating Sessions/Sessionid beim Ändern der Authentifizierung

Question

Ich benutze Symfony 1.4 und es scheint, dass Symfony jedes Mal, wenn ein Benutzer authentifiziert wird, eine Sitzung für den Benutzer neu erstellt. Wenn ich beispielsweise eine Site besuche und nicht eingeloggt bin, habe ich eine andere Session-ID. Wenn ich mich anmelde, habe ich eine neue, und wenn ich mich abmelde, habe ich noch eine neue. Das war nicht so in Symfony 1.0 und ich frage mich, ob es so sein soll?

Answer 1

Ich habe gerade den Quellcode von 1.0 überprüft, er existierte dort nicht.
Die Versionen 1.1 und höher generieren die Sitzungs-ID jedes Mal neu, wenn die Authentifizierung geändert oder Anmeldeinformationen hinzugefügt/entfernt werden.
Dies ist eine sehr gute Sicherheitsmaßnahme, verhindert Session Fixation Attacken.

Here's a link zum entsprechenden Änderungssatz in trac.

Answer 2

Dies ist ein korrektes Verhalten. Es ist eher mit PHP-Sessions verbunden als mit Symfony. Ich glaube nicht, dass es in Symfony 1.0 anders war.

Sitzungs-ID sollte eindeutig und schwer zu erraten sein. Wenn Sie immer dieselbe Sitzungs-ID erhalten würden, könnte jemand, der einmal geschnüffelt hat, jedes Mal, wenn er es möchte, verwenden (speichern Sie es in einem Cookie und verwenden Sie die Website mit Ihren Zugangsdaten).