トップページ⇒php
822コメント255KB

【PHP】セッションについて語ろう！【PHP】

■ このスレッドは過去ログ倉庫に格納されています
0001nobodyさん03/09/24 19:31ID:SnRvXmpI
ブラウザを閉じたらセッションの効果がなくなるのって、
ブラウザを閉じることでクッキーを消しているからなのですね。。
知らなかったよーーーーうわーーーん
0577nobodyさん2006/08/05(土) 13:15:13ID:???
クレジットカード番号送るのに、SSLも使ってないサイト
↑で金を取る方がボッタクリだと思った。

あと>>575の人コテハンにしてくれ。ｱﾎﾞﾝしとくから。
0578nobodyさん2006/08/05(土) 17:48:27ID:???
>>542
＞会員専用以外のとこですべてをhttpsでやってるとこなんてあるの？
あった
http://portal.askul.co.jp/
0579nobodyさん2006/08/06(日) 00:13:53ID:???
>>578
準会員制みたいなもんですね
微妙だけど
0580nobodyさん2006/08/06(日) 20:38:27ID:???
>>576
だから逃げるなって、チンカス。
「クレジットカード番号送るのに、SSLも使ってないサイトを使いますか」って、
お前の主張なんか誰も聞いてないんだよ。早くSSLを使わなければ問題が起きるという実例を示せ。

「価値観の押し付けウザ」　←　これをそっくり熨斗でもつけてチンカスに返却しましょう。
0581nobodyさん2006/08/06(日) 21:10:38ID:???
何かのレポートの宿題か？
自分でやれ
0582nobodyさん2006/08/07(月) 06:22:05ID:???
たかだかSSLの設定が出来ない香具師が騒いでいるだけ。
SSLあり/なしの両方で運用できるように書いときゃいいだけなのに。
0583nobodyさん2006/08/07(月) 09:25:34ID:???
>>582
論点のズレた認識乙。

＞SSLあり/なしの両方で運用できるように
実際の運用に当たってはそんなの当たり前だろボケカス。
そもそも、話の流れはそういうことを言ってるんじゃないだろうが。
SSL無しの場合の被害実例を早く挙げてみろって言ってんだよ。
いつまで逃げてんだチンカス。
0584nobodyさん2006/08/07(月) 09:36:34ID:???
単位はあきらめろ
0585nobodyさん2006/08/07(月) 09:47:08ID:???
「SSLを使わなければ問題が起きるという実例を示せ」って、
お前の主張なんか誰も聞いてないんだよ。
早く「クレジットカード番号送るのに、SSLも使ってないサイトを使いますか」に回答しろ。
0586nobodyさん2006/08/07(月) 09:48:54ID:???
>>580ってweb製作板の「携帯端末用のWeb制作」で暴れていた馬鹿と同じやつだな。
結局GETが何かすら分かってなかったというオチで逃げ去った馬鹿。
放置推奨。
0587nobodyさん2006/08/07(月) 09:55:59ID:???
>577に一票
0588nobodyさん2006/08/07(月) 10:00:44ID:???
>583
結局こいつは何がいいたいの？ｗ
誰か説明して
0589nobodyさん2006/08/07(月) 17:37:02ID:???
皆さんドコモ向けのセッションってsession.use_trans_sidでやってますか？
0590nobodyさん2006/08/07(月) 18:48:37ID:???
>>589
面倒な時はそうしてる
0591nobodyさん2006/08/08(火) 10:14:27ID:???
>>584-588
悔し紛れのｼﾞｻｸｼﾞｴﾝ乙。
でもお前ｼﾞｴﾝし杉だから、ほどほどにな。

で、早くその逃げの人生を止めろよ。
答えに窮する事実を突きつけられたからって、発狂しちゃいかんよキミｗｗｗ
0592nobodyさん2006/08/08(火) 12:37:31ID:???
>>591
移動しろ話はそれからだ

セキュリティ初心者質問スレッドpart73
http://pc8.2ch.net/test/read.cgi/sec/1154835858/
0593nobodyさん2006/08/10(木) 08:32:10ID:???
そうして>>592は「答えられない質問」から逃げ通すことに成功した。
その後彼は一生逃げ続けるヘタレな人生を送るのであった。
めでたしめでたし。
0594nobodyさん2006/08/10(木) 12:30:02ID:???
( ﾟдﾟ )
0595nobodyさん2006/08/10(木) 18:09:09ID:???
質問への返答よりもスレ違いな場所で質問する事のが重要ってことか
死ねばいいのに
0596nobodyさん2006/09/30(土) 23:07:37ID:ev1i2goA
unset($_SESSION)してしまった場合の対処法おしえてくださいっ！
結構探したけどみつかんないです。。。
0597nobodyさん2006/10/01(日) 01:06:19ID:???
>>596
// unset($_SESSION)
でオケ
05985962006/10/01(日) 06:04:12ID:u4OUdACZ
>>597
レスありがとー。

ということは session 機能がいきなり動かなくなったのは
これが原因じゃないのね。

>unset($_SESSION)によって 全ての$_SESSIONを初期化してはいけません。 $_SESSIONスーパーグローバル変数を用いた セッション変数の登録ができなくなってしまうからです。
これの意味勘違いしてました。
0599nobodyさん2006/10/01(日) 09:31:39ID:???
そもそもネットで個人情報やカードの番号入力する時点でセキュリティが低い。
セッションやSSLに関係なく、個人情報は漏れてるし。
ベリサインも個人情報の流出までは保証してないよ。
0600nobodyさん2006/10/01(日) 09:37:01ID:???
そんなときのPマーク
0601nobodyさん2006/10/01(日) 17:44:25ID:???
SSLは相手の組織の実在証明も大きい
0602nobodyさん2006/10/01(日) 23:27:52ID:???
実在証明の証明書ならね。実在証明無しの証明書も有るし。
PマークもISMSも認証に合格しましたってだけで、漏れない保証は無い。
現場では平気でシュレッダーせずに捨ててたりするし。
0603nobodyさん2006/10/02(月) 04:25:34ID:???
まぁ、SSL通っていてもマーチャントがカード情報を持つようなのは
俺はちょっと引くな。よっぽど大きな企業じゃなければ。
できれば、実績のあるカード決済代行会社を通してる所を使いたい。
0604nobodyさん2006/10/02(月) 13:04:11ID:???
で、実績のあるカード決済代行会社って具体的にどこ？
0605nobodyさん2006/10/04(水) 01:35:01ID:???
ZEROとか？
エロ系サイトでよく見かける大手ｗｗ
0606nobodyさん2006/10/04(水) 02:11:06ID:???
10%とか手数料で持ってかれそう(w
0607nobodyさん2006/10/04(水) 15:21:52ID:???
その分価格に上乗せしとけばよい。
0608nobodyさん2006/10/05(木) 01:47:13ID:???
価格転嫁は駄目ってVISAとか指導してたはず。
0609nobodyさん2006/10/05(木) 06:55:51ID:???
むろん、「手数料分を上乗せしてます」なんてわざわざ言うわけないだろバカ。
0610nobodyさん2006/10/06(金) 15:39:05ID:???
すれ違いだろバカ。
0611nobodyさん2006/10/17(火) 09:40:53ID:fxomtaVS
んで結局、「SSLを使わなかったばかりに問題が起きたという実例」ってあるの？
みんな結局、これをしとけば自分もﾕｰｻﾞｰも安心ってな気持ちでSSLを使用してるんかな？
0612nobodyさん2006/10/17(火) 09:56:15ID:???
>>611
なんでセッションスレで？
0613nobodyさん2006/10/17(火) 13:02:42ID:???
>>611
ｼﾗﾈ

金貰って仕事やってると、クレジットカード決済にSSL使ってません…なんて鼻で笑われるのは事実だが。

SSLを使う一番の理由は、問題が起きる起きないという事よりも、利用者に与える安心感（サイトイメージ）を得る為。
一般人はSSLが何かなんて全く分かってない。
だけど、ベリサインがどうので高度なセキュアをかましてると謳うと、かえってSSLが何かすら
全く分かってない素人には、安心感を与える事が出来る。
SSLを使う理由なんてそんなもん。つまりあなたの仰るとおり。

個人の趣味でやるのなら好きにやればいいし、
金貰ってやるならそれに意味があるかどうかなんて考える必要性は全くない。
0614nobodyさん2006/10/18(水) 03:54:01ID:???
安心感なんて気持ち程度だけどね。
ssl対応でも個人情報ただ漏れの鯖なんていくらでもある。
0615nobodyさん2006/10/18(水) 20:34:34ID:???
やばい、yahooショッピングにセキュリティホール見つけたんだけど
ここで公開するべき？それとも電話かけておしえてあげるべき？
それともメール発射するべき？
0616nobodyさん2006/10/18(水) 20:59:58ID:???
>>615
サイトのセキュリティホールもIPAへの届出でOK
http://www.ipa.go.jp/security/vuln/
0617nobodyさん2006/10/18(水) 21:02:15ID:???
とりあえずここには書くな
0618nobodyさん2006/10/18(水) 21:16:28ID:0wCu4Tq1
やばい､yahooｼｮｯﾋﾟﾝｸﾞでアナルホール見つけたんだけど
ここで公開するべき?それとも電話かけておしおきしてあげるべき?
それともホールに発射するべき?
0619nobodyさん2006/10/19(木) 02:53:05ID:???
>>614
そんなの一般人にとっては分からない事だしどうでもいい。

個人の趣味でやるのなら好きにやればいいし、
金貰ってやるならそれに意味があるかどうかなんて考える必要性は全くない。
そこんとこの差が理解できない奴が多すぎ。
0620nobodyさん2006/10/19(木) 06:22:53ID:???
俺はルータにしてたLinuxマシンに、
パケットスニッファを仕込まれた経験がある。
0621nobodyさん2006/10/19(木) 17:10:15ID:???
>>619
日本語でOK
0622nobodyさん2006/10/21(土) 10:06:06ID:???
rootkitとか仕込まれると、怪しいファイルを消してもroot権取られたままで踏み台にされるらしいね。
0623nobodyさん2006/10/22(日) 15:52:50ID:???
Ajax系画面遷移無しの非同期通信で、ポストゲットを使わずにセッションの値を変えられないだろうかぁ〜？
ポストゲットすると変数いじれるし…　ボタンを押したイベント時に、セッションの値を代入したいんだよなぁ。
そんなセキュリティーを求められてるんだが…　一日いろいろ試したけど、ポストゲット使う以外の方法が見つからなかった；；
エロイ人教えて；；
0624nobodyさん2006/10/22(日) 17:02:58ID:???
ポストイット使う
0625nobodyさん2006/10/22(日) 19:27:10ID:???
4.4.0でsession_regenerate_id(true)すると古いセッションIDって消してくれます？
0626nobodyさん2006/10/23(月) 18:03:43ID:???
>>625
trueで消せるのは5.1で有効になったから4系では消えない。
0627nobodyさん2006/10/26(木) 06:12:34ID:F7p++raS
PerlとPHPで、sessionの共有は可能でしょうか？

Perlモジュールは　CGI::Session　を使おうかと思ってます。

SessionIDが同じならPerlとPHPでsessionの共有はできるものでしょうか。

「sessionの共有」する方法をご存知の方、いらっしゃいますか？
0628nobodyさん2006/10/26(木) 06:20:20ID:???
できるできないじゃなくて、
簡単なコードかいて試せば数分でわかることじゃん。
そんな時間ももったいなくて使いたくないのか？
0629nobodyさん2006/10/26(木) 06:50:16ID:???
>>628
ごもっとも。
でも
共有鯖で、Perl用のSessionが組み込まれていないので試しようがない。
モジュールの追加は申請中だけど、いつになるか判らない。　
自宅鯖は、崩壊中。

判んないないら黙っててね。煽るのは止めてね。
0630nobodyさん2006/10/26(木) 08:56:57ID:???
>判んないないら黙っててね。煽るのは止めてね。
何様だ
0631nobodyさん2006/10/26(木) 09:04:21ID:???
どう考えても質問よりテスト環境整えるのが先だろ
0632nobodyさん2006/10/26(木) 10:07:07ID:???
(゜ｍ゜*)プッ
厨に厨が喧嘩売ってんじゃねーよ。質問スレだ、煽る前に答えてやれ。

・PerlとPHPなどでは　SessionIDが同じでも、共有はできない。
　CGI::Sessionで、PerlはSessionが使えるけど、それはCGI::Sessionだけで使える。

PHP::Sessionなら出来るらしいが、私は知らない
http://perldoc.jp/docs/modules/PHP-Session-0.15/lib/PHP/Session.pod
0633nobodyさん2006/10/26(木) 10:44:28ID:???
>質問スレだ、煽る前に答えてやれ。
あれが煽りに見える時点でアレだし、この理屈はおかしい
0634nobodyさん2006/10/26(木) 11:03:23ID:???
>>627
俺はperlから離れてはや数年経つしCGI::Sessionは使った事ないが、
PHPに標準実装されてるセッション管理法はファイルベースで、
指定ディレクトリの中にセッションIDを含んだファイル名を使って管理している。

つまり、perlでもそのファイルと全く同じものを使ってセッションを実装するなら、
共有は出来る。それが出来ないなら、自前のセッション管理法にすればいい。
0635nobodyさん2006/10/26(木) 11:05:50ID:upDRXWKA
ログインフォームからログインしてセッションでtime()使ってタイムアウトさせるようにしたんですけど、
今のままだとログイン後に設定した時間が来たらタイムアウトされます。

何かしら操作したら情報をリセットするようなことってできますでしょうか･･･。
0636nobodyさん2006/10/26(木) 12:07:11ID:dpAXN0uK
>>634
そうなんだけど、PHPのセッションハンドラって指定できなかったっけ？
デフォルトはファイル管理だと思うけど（サーバー設定次第）DB管理にもできるし。
DB管理にしちゃえばPerlの共有前提なら楽チンだと思った。
まぁ、いずれにしよ、モジュール任せの実装じゃ共有は難しいね。
0637nobodyさん2006/10/26(木) 13:56:19ID:???
>>636
出来るよ。
session_set_save_handler()使うのが楽。

＞まぁ、いずれにしよ、モジュール任せの実装じゃ共有は難しいね。
そういう事。

>>635
PHPのデフォのセッション使ってるなら、タイムアウトの指定が出来るから確認してみ。
0638nobodyさん2006/10/26(木) 18:24:54ID:???
php5.2でセッション使ってる人の感想聞きたいのですが、
php5.1とくらべて何か変わったところありますか？
0639nobodyさん2006/10/26(木) 23:01:05ID:???
ない
0640nobodyさん2006/10/26(木) 23:29:44ID:???
そろそろ5.2がインデックスにでてくるころじゃね。
でもなんでベータ版ってわかりずらいところにおいてあるんだろう。
0641nobodyさん2006/10/27(金) 16:29:50ID:qVqOzfjK
>>637
ありがとうございました。解決しました。
0642nobodyさん2006/10/29(日) 07:44:54ID:???
馬鹿がダウンロードしないようにでしょ。
バカ避け。
馬鹿は安定板を使うべき。

セッションが簡単に共有できたら、レン鯖なんてセッション取られまくりだ(w
つ他人のセッション
0643nobodyさん2006/11/03(金) 13:21:11ID:QUVcMJYR
そもそも、セッションIDがばれたら何が怖いんですか？
どこをどうされてログインされるんですか？

こないだセッションIDというヤツを他人に知られたんですけど、
何をされるんですか？
0644nobodyさん2006/11/03(金) 14:19:12ID:???
ググって自分なりに調べたらまたきなさい。
あげんなバカ
0645nobodyさん2006/11/03(金) 14:37:00ID:???
>>643
初級ネット
http://pc8.2ch.net/hack/
0646nobodyさん2006/11/04(土) 01:54:01ID:toBPKG6d
セッションの有効期限なのですが

session_cache_expire(1440);　//12時間
session_start();

セッションが必要なページ全てに書いているのですが
途中で切れています 12時間持ったことが今までないのですが、
なにか注意点はありますか？
0647nobodyさん2006/11/04(土) 04:42:40ID:???
その関数はHTTPのキャッシュコントロールで
セッションの有効期限とは関係ないと思うけど
0648nobodyさん2006/11/06(月) 03:28:19ID:???
質問者ではないけど、キャッシュコントロールと有効期限とは別物なんですか？
ちょっと気になったもので。
0649nobodyさん2006/11/06(月) 04:45:28ID:???
>>648日本語でOK
0650nobodyさん2006/11/06(月) 08:25:11ID:???
1440分って24時間だけど
0651nobodyさん2006/11/06(月) 08:28:14ID:???
session_cache_expire(12*60);　//12時間
にしたらよかったのに
0652nobodyさん2006/11/07(火) 10:39:00ID:???
>>646
セッションの有効期限は
session.gc_maxlifetime
session.cookie_lifetime
前者はサーバ側でのセッション保持期間、
後者はクライアント側でのセッションID保持期間。

>>647
キャッシュが有効だとサーバ側で予測できない遷移が起こってしまう。
セッション中ではその予測できない遷移によって、セッション変数に不整合が生じるなど、
悪影響がでる可能性が増大する。
そのため、セッション中におけるキャッシュの制御を、
通常のキャッシュ制御とは別にセッション関連の設計者・プログラマにゆだねる必要がある。
session_cache_expireはそのための関数であって、セッションの有効期限とは無関係。
0653nobodyさん2006/11/07(火) 11:19:04ID:???
ナイス解説
0654nobodyさん2006/11/08(水) 10:02:01ID:???
>>652
サーバー側の設計が分からないためか、イマイチすっきりと分からない。
0655nobodyさん2006/11/08(水) 16:21:52ID:???
>>652
phpinfo()
0656nobodyさん2006/11/11(土) 14:18:54ID:OcR85OjN
session_regenerate_id使うとSet-Cookieが２度送られるのな。
それのせいで、IE6のCookieがたまに誤動作を起こして、
旧SESSION_IDを送ってしまうのはバグ？
0657nobodyさん2006/11/11(土) 15:23:10ID:???
>>656
ちゃんとマニュアル読んでればわかる話。
あと10回session_regenerate_idについてマニュアルを読み返してみろ
0658nobodyさん2006/11/17(金) 05:48:06ID:???
IEってサービスパックでも挙動が変わる問題ブラウザだからな。
IE7対応できてる香具師居る？

セッション中のキャッシュってメモり喰いまくって腹膨れてるから、早めに解放しないとリソース枯渇して鯖ごと落ちるだけだぞ。

他人のセッションが取れたら、他人のカードで買い物しまくれるよな(w
ミクシだと、他人の垢使いまくり(w
0659nobodyさん2006/11/17(金) 10:54:31ID:???
またそのネタか
0660nobodyさん2006/11/18(土) 22:05:59ID:vrteR2uu
>>652
質問者ではないのですが教えていただけるでしょうか

ini_set("session.gc_maxlifetime", 3600);
ini_set("session.cookie_lifetime", 3600);
session_start();

でサーバ・クライアント両方のセッション保持期間が1時間になるかと思いますが、
これはセッションを使っているページすべてに書かなくてはいけないでしょうか？

現在保持時間を気にしている部分は
page1 → page2 → page3 → page4
という風に移動するものではなく、
page1 → page2 → page1 → page3 → page1
という感じで常に page1 に戻るのですが、この場合は
page1にこの指定をいれておけばいいでしょうか？

お手数だと思いますがよろしくお願いいたします
06616602006/11/18(土) 22:10:53ID:???
何度もすいません

セッション保持期間なのですが、値を読んだときからという認識であってますでしょうか
値を更新した時からではないですよね？
0662nobodyさん2006/11/20(月) 23:48:22ID:???
マニュアル読めば分かると思うが
0663nobodyさん2006/11/23(木) 00:27:15ID:???
世の中、暇人や言語マニアばっかじゃないから、いちいちマニュアルなんか読んでらんないんだよ。
答える気がないんだったら、ウザイから黙ってろよ。
0664nobodyさん2006/11/23(木) 00:38:15ID:???
プログラマでマニアじゃないのは致命的と釣られてみよう
0665nobodyさん2006/11/23(木) 00:47:02ID:???
いや、662は答えだが？
0666nobodyさん2006/11/23(木) 03:09:43ID:???
>>664
単なるマニアは致命的。プログラマーという仕事に向いてない。
しかも、プログラムする人間が職業プログラマーだけという閉塞した思考回路も致命的。
世の中には本来の目的とは別に、仕方なくプログラムを組まなきゃならん人間がいるのだ。

>>665
文盲乙！
0667nobodyさん2006/11/23(木) 03:25:50ID:???
なぜそう答えられたのか自分のレスと読み比べてみたらｗ
0668nobodyさん2006/11/23(木) 04:47:38ID:???
>>667
コミュニケーション能力のない奴、乙！
0669nobodyさん2006/11/23(木) 05:05:59ID:???
> 暇人や言語マニアばっかじゃないから、いちいちマニュアルなんか読んでらんないんだよ

指をくわえて答が返ってくるのを待つほど暇じゃない人のためのマニュアルだし
ソース読んで仕様を舐めまわすマニアじゃないから使い方だけ知るためにマニュアルを参照するんだよ
応用が利くという複利もあるしね。現実に>>661はこのケースだったわけだ

さて、日本語がよめてコミュニケーション能力のある奴ならなんて答えるんだろうねｗ
0670nobodyさん2006/11/23(木) 09:38:54ID:???
マニュアルの該当部分をここに書けってか死ねばいいのに
答えが書いてある場所を示されただけでも良いほうだろ
ここはサポセンか？
釣り宣言していいから去れ
0671nobodyさん2006/11/23(木) 11:01:40ID:???
１．登録→２．確認（セッション保存）→３．完了（セッションからDB登録）
って流れでセッション使うのは皆どういうやり方してるの？
以降、登録画面用セッションデータをSDと、登録・確認・完了は１・２・３で記述

一．SD１件方式
１で既存SDがあればクリアする？２で上書きする？
２でSD保存
３で登録後にSD消去
つまり、登録確認画面を開いたまま、別ウインドウで登録処理を同時にやると最初の画面は正常動作しない

二．SDｎ件方式
１で何もしない
２でSD増加し保存
３で登録後にSD消去
つまり、確認画面を開かれる度にSDが増加し、完了までいかなければゴミSDが無限に増加していく

どちらも問題点があるんだが、みんなセッション使ってるみたいだし
問題点のないスマートなやり方ってあるの？
0672nobodyさん2006/11/24(金) 04:02:25ID:???
>>669
日本語が不自由な奴、乙

>>670
マニュアルの該当部分でもコピペすればいいだろ。コピペの仕方なら初心者板で聞いて来い
0673nobodyさん2006/11/24(金) 04:17:04ID:???
>>672
マニュアルを読めばいいじゃん？
0674nobodyさん2006/11/24(金) 05:01:48ID:???
>>672
必死だな
0675nobodyさん2006/11/24(金) 13:47:32ID:???
>>671

俺はSD(ってセッションデータ？)1件方式だな。
登録画面を開いたときに、一意になるようなキーをセッションデータにセットして、
その値をhiddenで確認まで持ちまわる。
３で画面から渡されたキーと、セッション内のキーを比較して同じなら登録。
違ってたらやり直せと。
大体この程度で許されるんじゃない？甘い？
0676nobodyさん2006/11/25(土) 11:11:23ID:???
他人のセッションって奪えるの？
■ このスレッドは過去ログ倉庫に格納されています