session通過URL傳遞的問題

今天學習了session通過URL傳遞的知識，所以想實驗一下下，遂寫了兩個頁面，內容如下：

【index.php】

";               ?>">來不及了，快上車！  

【2.php】

開啟index.php後：


點選連結後，跳轉頁面：

我的疑問是：按道理說兩個頁面的session ID應該相同啊，可為什麼不一樣呢？我是小白，還請大神幫我解疑答惑。。。

回複內容：

今天學習了session通過URL傳遞的知識，所以想實驗一下下，遂寫了兩個頁面，內容如下：

【index.php】

";               ?>">來不及了，快上車！  

【2.php】

開啟index.php後：


點選連結後，跳轉頁面：

我的疑問是：按道理說兩個頁面的session ID應該相同啊，可為什麼不一樣呢？我是小白，還請大神幫我解疑答惑。。。

為什麼要在URL帶上session？
1.這樣不安全，假設你是管理員，如果我在區域網路裡面抓個包，然後把你的session_id帶上，那我就是管理員了；
2.現在一般還是用cookie來傳遞session_id，只要是HttpOnly的cookie就不怕XSS攻擊，而且伺服器不要用Apache2.2，有一個400 bad request漏洞是可以泄露HttpOnly cookie的；
3.如果瀏覽器禁用了cookie，就不讓登入，用JavaScript就可以實現。

SID 是包含著會話名以及會話 ID 的常量，格式為 "name=ID"，和 session_id() 返回的是同一個 ID，但只在用戶端不存在會話 cookie 的情況下才會有值，否則 SID 的值是Null 字元串。

1. 如果在不禁用用戶端 cookie 的情況下從 index.php 跳轉到 1.php 輸出 SID 應該是Null 字元串才對；

2. 如果禁用了 cookie，無法從用戶端拿到 cookie 中的 Session ID，那麼就會產生新的會話，每次跳轉到 1.php都會輸出不同的 SID;

3. php.ini 從 PHP 4.3.0 開始添加了 use_only_cookies 的設定，指定是否在用戶端僅僅使用 cookie 來存放會話 ID。。啟用此設定可以防止有關通過 URL 傳遞會話 ID 的攻擊。自 PHP 5.3.0 開始，預設值改為1（啟用）。

   傳送會話ID
   預定義常量

題主基礎不紮實啊，首先SID變數沒有被賦值，其次，get參數連key=都沒有帶上，最後，誰告訴你普通變數可以跨頁面傳遞啊？除非是session或者application超全域變數。

我很想知道你在哪兒學的session通過URL傳遞的知識，看了原文可能能給你個解答。

