Nach jedem Request ist das Quatsch. Und - nein, das verwaltet der Server (also PHP) schon so, dass die Zuordnung zum User erhalten bleibt.
Wichtig ist eine Änderung nach dem Login, sonst könnte Dir jemand eine Session über einen Link mit Session-GET-ID unterschieben (
Session-Fixation).
session_regenerate_id Zitat:
|
Die Funktion session_regenerate_id() ersetzt die aktuelle Session-ID durch eine neue und übernimmt die aktuellen Session-Informationen. |
Zitat:
|
Falls Session-Cookies aktiviert sind, wird durch die Verwendung von session_regenerate_id() nun auch ein neues Session-Cookie mit der neuen Session-ID abgegeben.
|
[edit]
PS: Noch nicht gelesen, sieht aber gut aus:
Session-Angriffe - eine Analyse an PHP | PHP MySQL rapid prototyping & Sicherheit