【PHP】セッションについて語ろう！【PHP】
■ このスレッドは過去ログ倉庫に格納されています
0001nobodyさん
03/09/24 19:31ID:SnRvXmpIブラウザを閉じることでクッキーを消しているからなのですね。。
知らなかったよーーーーうわーーーん
0002nobodyさん
03/09/24 19:32ID:SnRvXmpIIPをキーにして
普通につくれるじゃん。。
と思ったんんだけどどうう？
0003nobodyさん
03/09/24 20:24ID:???1、スレ建て宣言…………１
2、開会の辞………………１
3、煽 り………………住人有志
4、逝ってよし……………１
5、御前もな………………住人有志
6、決意表明………………１
7、祝電披露………………1の家臣
8、来賓挨拶………………1の母親
9、来賓挨拶………………1の主治医
10、余興……………………もな踊り保存会
11、余興……………………１騙り太夫
12、送辞……………………大検
13、答辞……………………１
14、板歌斉唱………………全員
15、閉会の辞………………スレッドストッパー
16、終了宣言………………ひろゆき（削除忍代読）
0004nobodyさん
03/09/24 22:39ID:???0005nobodyさん
03/09/24 22:40ID:???世の中の全端末にグローバルIPアドレスを付与出来るようになったのなら、それでも良いんだろうけどな。
NATやNAPT、プロキシサーバなんてもんが存在してしまうわけだ。
0007nobodyさん
03/09/24 23:48ID:???0008sage
03/09/25 00:23ID:???変わらなければ問題はない。
けれども変わるから完全ではない。
でも用途によれば、問題なく利用できるよね。
使う目的によって、価値も変わってくるということだ。
0009nobodyさん
03/09/25 00:41ID:ZJmN+3d30010nobodyさん
03/09/25 00:57ID:???0011sage
03/09/25 02:07ID:???誰かおしえてちょんまげ
0012nobodyさん
03/09/25 10:43ID:???問題はその逆。
同じアドレスで複数の人がアクセスする可能性
同じクライアントで別人がアクセスする可能性
これがあるから、そのままでは使えない
0013sage
03/09/25 17:47ID:???セッションと同じ機能をまるごとつくれるんじゃないか？
0015nobodyさん
03/09/25 18:38ID:???0018nobodyさん
03/09/25 19:43ID:T3dpzMyk0019nobodyさん
03/09/25 21:11ID:???0021nobodyさん
03/09/26 00:02ID:???PHP マニュアル：セッション処理関数(session)
http://php.planetmirror.com/manual/ja/ref.session.php
クッキー仕様書日本語訳
http://www.futomi.com/lecture/cookie/specification.html
0022nobodyさん
03/09/27 07:48ID:efY9iLPNの回避策にsession使ってるけど邪道？
0023nobodyさん
03/09/27 10:39ID:???素直にDBの主キーと比較するとかもあると思うけど、それほど邪道でもないかと。
複数ページでのつながりを確保するのが目的だからな。
0024nobodyさん
03/09/27 20:12ID:76PBBTl7sessionでチェックという以前に、
遷移先画面にリダイレクトさせて、戻れなくするのが基本じゃないのかなぁ？？
0025直リン
03/09/27 20:13ID:fK1fC/Fc0028nobodyさん
03/09/28 22:40ID:???ところのほうが好感が持てますね
0029nobodyさん
03/09/30 15:43ID:2jXpVkA50030nobodyさん
03/10/01 12:48ID:???0031nobodyさん
03/10/01 18:29ID:MgXABHqI0032nobodyさん
03/10/01 18:45ID:H4wYblVHYahooドメインかどうかを判断して不正ができないようにしているみたいですが、これってクラックの危険性はありますか？
大丈夫そうだったらウチのサイトでも導入しようかと考えてます。
0033nobodyさん
03/10/01 19:14ID:???対策はされている。
0034nobodyさん
03/10/02 04:12ID:jb4S4+xE0035nobodyさん
03/10/04 01:01ID:8tSg2rjLphp.ini
0036nobodyさん
03/10/04 07:34ID:???0037nobodyさん
03/10/05 22:20ID:???>>2から１０個ぐらいの書き込み見ると、完全にネタスレだと思ったけど、
その後、ベタっぽい低空飛行で展開されているようなので、俺も判断に苦
しんでる。
0040nobodyさん
03/10/11 00:39ID:???------------------------------------------------------------------------------
セッションとセキュリティ
外部リンク: Session fixation
セッションモジュールは、セッションに保存した情報を見ることができるのが
そのセッションを作成したユーザーだけであることを保証することができません。
セッションの完全性を積極的に守るには、そのセッションに 紐づく値に応じた追加措置が必要です。
セッションに運ばれるデータの重要性を評価し、必要な保護策を講じて下さい。
これには通常、お金があかり、ユーザの利便性を損なうことになります。例えば、簡単な
社会工学的な策略からユーザを守るためには、 session.use_only_cookiesを有効にして下さい。
この場合、ユーザ側でクッキーは無条件に有効となっている必要があり ます。そうでない場合、
セッションは動作しません。
存在するセッションIDが第三者に洩れる手順は何種類かあります。
洩れたセッションIDにより、第三者が特定のIDに関連する全てのリソースにアクセスできるように
なります。まず、セッションIDがURLにより伝 送される場合です。外部サイトにリンクを張っている場合、
外部サイト のreferrerログにセッションIDを含むURLが保存される可能性があります。
第二に、よりアクティブな攻撃者がネットワークのトラフィックをモニターしている可能性があります。
セッションIDが暗号化されていない場合、セッションIDはネットワーク上を平文テキストで伝送されます。
解決策はサーバ上にSSLを実装し、確実にユーザに適用することです。
-------------------------------------------------------------------------------
0042nobodyさん
03/10/11 10:46ID:f+KUGOmH初心者には分かりきったことではないんでしょう。
なぜつっかかるのかわからん。
0044参考
03/10/12 02:38ID:hB6ZK8LUttp://www.atmarkit.co.jp/fsecurity/rensai/webhole03/webhole01.html
・セッションハイジャック
・Session Fixation攻撃
0045nobodyさん
03/10/12 02:43ID:hB6ZK8LUキャッシュを public にすると、そのままブラウザ閉じても、そのＵＲＬを開けばまた
情報が出てくるからじゃないの？
0046nobodyさん
03/10/12 02:47ID:???>>28は戻るボタンを用意して、内容を復元する配慮をしてくれと
言ってるので、ブラウザの戻るでのキャッシュを使えとは言ってない
0048nobodyさん
03/10/12 03:08ID:mzy4uQ15ちなみに、J-PHONE J-SH05ではダメみたいです。
0049nobodyさん
03/10/12 03:14ID:hB6ZK8LUセッションの仕組み一度自分で作ってみたらどう？と思ったよ
0050nobodyさん
03/10/14 21:07ID:/RUyf6Fs書いて普通にうまくいってたのですが、idを毎回変えたくて
ttp://www.asahi-net.or.jp/~wv7y-kmr/note/2003-09.html#YMD20030907_PHP
を参考に、疑似 session_regenerate_id()を作りました。
function session_switching() {
$qq = serialize($HTTP_SESSION_VARS);
if (!session_destroy()) {
session_id(md5(uniqid(rand(), 1)));
session_start();
$HTTP_SESSION_VARS = unserialize($qq);
return true;
} else {
return false;
}
}
んで、
session_start();
$noerr = session_switching();
ってやってみたんですが、関数の中のsession_start()で
「Fatal error: Failed to initialize session module」が出てしまいます。
destroy()したあとすぐにstart()するときに何か特別に注意することってあるんですか？
DB関連とsession_set_save_handlerはここをヒントにしました。
http://itbtech.itboost.co.jp/php/php_12.php
DBじゃなく、普通のファイル管理ではうまく動きました。
環境は、RedHat8.0, PHP-4.2.2, MySQL-3.23.56です。
0051nobodyさん
03/10/14 21:11ID:/RUyf6Fsif (!session_destroy()) {
↓
if (session_destroy()) {
0052nobodyさん
03/11/13 18:52ID:???0053nobodyさん
03/11/19 18:30ID:???0054nobodyさん
04/01/08 05:26ID:K/SrUI+S実際の所さCOOKIE無効のクライアントでも同一か認識できるから
俺はCOOKIEへの保存をセッションに保存してるわけだが
邪 道 か な ？
0055nobodyさん
04/01/09 19:32ID:???0056ななしくん
04/01/27 22:58ID:vdgC7W+O使い方があまりにも簡単すぎて（$_SESSIONとクッキー使った場合）
こっちは身構えてるので、逆に解説とかがわかりにくかった(藁
0057nobodyさん
04/01/28 03:07ID:IiAYAwD1確かにセッション使うのは楽だけど、
動作原理はしっかり理解する必要があるよ。
0058ななしくん
04/01/28 06:10ID:???様々な解説書サイトなどはそういう意図で、原理を説明されてるんだとは思います。
なんか、「どう使うか！！！」がなかなかわからなかったんですよ(藁
0059nobodyさん
04/01/28 08:42ID:???セッションが機能するのに何ページ必要かとか悩んだ悩んだ。
a.html フォーム
|
b.php session_start(); $_SESSION['data']='a';
|
c.php sessin_start(); $data = $_SESSION['data'];
0060nobodyさん
04/01/29 07:51ID:???自分がやってることが、全然見当外れなのではないかと思ったりも。
もしかしたら、そうなのかもしれない。
一応自分の思ったとおりに動作しているし、人にチェックしてもらっても
ちゃんと動作していると彼は言う…。
>>57
使い方だけで、まだ原理とかあやふやなので
ちゃんと勉強してみようと思います。
0061nobodyさん
04/02/01 18:12ID:LMIdhuo4どうやってクライアントを認識しているのか教えてほしいage
0062nobodyさん
04/02/12 11:51ID:acZilhbSカートに商品が入らないという問い合わせが、頻繁ではないがどうしても尽きない。
結局、クライアント側の設定に依存するし、やはり客に色々設定を強いるのはどうかと思う。
次やるとしたらamazonのようにURLに渡して管理したいけど、カート以前のページは
よほど商品数が多くない限り、一般的に静的に作りますよね？
そこで、URLでセッション管理したいがために、静的HTMLで済むものを、全部PHPで動的に
出力するのは馬鹿げた考えでしょうか？
0064nobodyさん
04/02/14 08:52ID:???PHPでも同じようなことしてるひといるでしょう。
0065nobodyさん
04/02/14 17:19ID:X1Wwd0H+とすると、<input name="msg">に入力された文字列が
/tmpのセッションファイルに書き込まれると思いますが、
保存されるときの文字コードはブラウザから送られてくる
文字コードのままなんでしょうか？
1行目の方法で保存したものを、echo $_SESSION['msgs'];
で出力しても日本語部分が表示されません。
よろしくお願いします。
ブラウザはIEで、サーバー側はこうなってます。
mbstring.internal_encoding = EUC-JP
mbstring.http_output = SJIS
/tmpにある今回のセッションファイル ： SJIS
0066nobodyさん
04/02/14 19:01ID:1TD2enu00067nobodyさん
04/02/17 21:52ID:???0068nobodyさん
04/02/18 22:47ID:???Amazonのように作るならOKじゃないの。
あれのカートは「誰の」という情報とは結びつかないようにしてあって、
会計の段階で「誰の」に結びつけるようにしてる。
# cookieが使える場合には、名無しさんAのカートのように、名無しさんも
# 区別して結びつけるけど。cookieに保存したセッションIDを使って。
その辺の個人情報や決済部分と切り離して設計できてれば
カート情報なんて商品リストの中から商品を選んだだけの存在だからね。
007068
04/02/19 23:37ID:???普通に使えますよ、カート機能自体はSIDがURLに付加されてますし。
cookieが使える場合はその他の機能がプラスされたり、
カート機能の照合補正が行われたり。結構上手く出来てると思います。
気にならない(気づかない)というところも上手いところ。
0071nobodyさん
04/03/04 23:25ID:???戻るボタンで戻ったら有効期限切れってなるのは
どう言う解決法があるのですか？
■ このスレッドは過去ログ倉庫に格納されています