Правильное предотвращение захвата сеанса в PHP

Я знаю, что эта тема обсуждалась много , но у меня есть несколько конкретных вопросов, на которые еще не ответил. Например:

// **PREVENTING SESSION HIJACKING** // Prevents javascript XSS attacks aimed to steal the session ID ini_set('session.cookie_httponly', 1); // Adds entropy into the randomization of the session ID, as PHP's random number // generator has some known flaws ini_set('session.entropy_file', '/dev/urandom'); // Uses a strong hash ini_set('session.hash_function', 'whirlpool'); 

 // **PREVENTING SESSION FIXATION** // Session ID cannot be passed through URLs ini_set('session.use_only_cookies', 1); // Uses a secure connection (HTTPS) if possible ini_set('session.cookie_secure', 1); 

 session_start(); // If the user is already logged if (isset($_SESSION['uid'])) { // If the IP or the navigator doesn't match with the one stored in the session // there's probably a session hijacking going on if ($_SESSION['ip'] !== getIp() || $_SESSION['user_agent_id'] !== getUserAgentId()) { // Then it destroys the session session_unset(); session_destroy(); // Creates a new one session_regenerate_id(true); // Prevent's session fixation session_id(sha1(uniqid(microtime())); // Sets a random ID for the session } } else { session_regenerate_id(true); // Prevent's session fixation session_id(sha1(uniqid(microtime())); // Sets a random ID for the session // Set the default values for the session setSessionDefaults(); $_SESSION['ip'] = getIp(); // Saves the user's IP $_SESSION['user_agent_id'] = getUserAgentId(); // Saves the user's navigator } 

Итак, мои вопросы

• session_destroy не отключает session_id
• Проверьте, используется ли PHP session_id
• Переменные сеанса, истекающие
• Идентификатор сеанса связи перестает работать
• Необходимое руководство по перенаправлению пользователя, если он не вошел в систему на панели администратора

• делают ли ini_set достаточную безопасность?
• нормально ли сохранять IP-адрес пользователя и навигатор, а затем проверять его каждый раз, когда страница загружается, чтобы обнаружить захват сеанса? Это может быть проблематично?
• Правильно ли используется session_regenerate_id() ?
• Правильно ли используется session_id() ?