На виртуальном хостинге у нас иногда возникали проблемы, когда сервер /tmp каталог был заполнен. Наша хостинговая компания предложила изменить путь сохранения сеанса, чтобы он был уникальным для каждого сайта.
ini_set('session.save_path', DOCUMENT_ROOT . '/_SESSIONS/');
Да, это помещает наши сеансы в корневой каталог сети. Мы решаем потенциальные проблемы с конфиденциальностью, добавляя .htacces файл в этой папке:
deny from all
Это работает.
Теперь мы переехали на наш собственный управляемый сервер. Путь сохранения сеанса по умолчанию на этом сервере: /var/lib/php/session. Есть ли веская причина продолжать перезаписывать это на /var/www/vhosts/example.net/httpdocs/_SESSIONS/?
Я не вижу причин, по которым вам нужно изменить его по умолчанию на выделенном сервере, если только он не установлен где-то с небольшим разделом, и вы беспокоитесь о нехватке места (как это было в случае изначально). Я предполагаю, что два пути на вашем новом сервере - это один и тот же раздел, смотрящий на пути, так что сейчас это спорный вопрос.
Я лично хотел бы, чтобы он находился вне корневого каталога, независимо от безопасности .htaccess. Просто не имеет смысла помещать его туда, а затем пытаться обезопасить, когда он может так же легко находиться за пределами веб-сайта.
На общем сервере мне, вероятно, нужны мои сеансы в моем собственном каталоге. В зависимости от того, насколько хороша безопасность, размещение их в том же месте, что и любой другой сайт, может позволить другим сайтам получить доступ к данным моего сеанса.