PHP7.1怎么配置会话传输ID标签安全规则-php教程-PHP中文网

php 7.1 中会话id url透传需组合配置：关闭session.use_trans_sid为首选；若必须开启，应精简session.trans_sid_tags、白名单限定session.trans_sid_hosts、启用session.referer_check校验来源。

php7.1怎么配置会话传输id标签安全规则

PHP 7.1 中配置会话 ID 透传（session ID in URL）的安全规则，核心是限制透传范围、关闭非必要透传、校验来源可信性。这不是“开启某个开关”，而是通过组合多个 php.ini 配置项，形成纵深防御。

session.trans_sid_tags：限定哪些 HTML 标签允许自动插入会话 ID

该配置项决定 PHP 在启用 session.use_trans_sid 后，会在哪些标签的 URL 属性中自动追加 SID 参数（如 <a href="..."></a>、<form action="..."></form>）。
默认值通常是：

session.trans_sid_tags = "a=href,area=href,link=href,form=action,frame=src,iframe=src"

✅ 安全建议：

btpanel phpsite 宝塔面板PHP网站

宝塔面板 PHP 网站管理：站点创建、删除、启停、PHP 版本切换、域名管理、SSL证书管理、伪静态管理、数据库管理

下载

若业务完全不需要 URL 透传（推荐），直接设为 session.use_trans_sid = Off，此项可忽略；
若必须支持（如无 Cookie 环境），则精简标签列表，只保留真正需要的。例如仅允许 <a></a> 和 <form></form>：
```
session.trans_sid_tags = "a=href,form=action"
```
❌ 不要保留 frame、iframe、script 等可能被用于跨域注入的标签。

session.trans_sid_hosts：只允许向指定域名透传会话 ID

该配置项是 PHP 7.1 新增的关键白名单机制，防止会话 ID 被泄露到第三方站点。
默认行为是：仅允许当前请求的 $_SERVER['HTTP_HOST']（即同源）。
✅ 安全建议：

显式设置可信主机白名单，例如你的主站和静态资源子域：
```
session.trans_sid_hosts = "example.com,www.example.com,cdn.example.com"
```
多个域名用英文逗号分隔，不加空格；
❌ 切勿留空或填入通配符（如 *.example.com），PHP 不支持通配符匹配；
❌ 禁止加入任何外部域名（如 google.com、cdn.jsdelivr.net）。

session.referer_check：简单但有效的 Referer 源头校验

当 session.use_trans_sid = On 时，此配置可在生成透传链接前检查 Referer 请求头是否来自可信地址，降低会话 ID 被恶意页面诱导点击后泄露的风险。
✅ 安全建议：

设为你的应用完整协议+域名（注意末尾斜杠）：
```
session.referer_check = "https://example.com/"
```
若支持 HTTP 和 HTTPS 双协议，建议统一强制 HTTPS，并只填 HTTPS 地址；
⚠️ 注意：浏览器在 HTTPS 页面跳转到 HTTP 页面时，或某些隐私设置下，Referer 可能为空或被截断，因此它不能替代 cookie 或严格域名白名单，仅作辅助防护。

最终推荐最小化安全配置组合

session.use_trans_sid = Off          ; ✅ 默认关闭，最安全
; 如果必须开启，请搭配以下三项：
; session.use_trans_sid = On
; session.trans_sid_tags = "a=href,form=action"
; session.trans_sid_hosts = "example.com,www.example.com"
; session.referer_check = "https://example.com/"

关闭 use_trans_sid 是首选方案——现代浏览器均支持 Cookie，且 HttpOnly + Secure + SameSite Cookie 已足够可靠。URL 透传本质是退化方案，易导致会话 ID 泄露至日志、代理、书签、Referer 等不可控位置。

不复杂但容易忽略