【PHP】セッションについて語ろう！【PHP】
■ このスレッドは過去ログ倉庫に格納されています
0001nobodyさん
03/09/24 19:31ID:SnRvXmpIブラウザを閉じることでクッキーを消しているからなのですね。。
知らなかったよーーーーうわーーーん
0685nobodyさん
2006/12/02(土) 10:07:44ID:???0686nobodyさん
2006/12/02(土) 10:33:56ID:???> 良い意味でも悪い意味でも、ＰＨＰ程度のスクリプト言語に何を求めているの？
php程度って…、そのphpは銀行のシステムや証券会社のシステムでも使われてるよね？
まぁ大抵はaspだろうけどさ。
0687nobodyさん
2006/12/02(土) 10:44:13ID:???0688nobodyさん
2006/12/02(土) 11:02:10ID:???> 良い意味でも悪い意味でも、ＰＨＰ程度のスクリプト言語に何を求めているの？
session.entropy_file という設定があるからには、
PHPはそういう利用法も想定していると推測できるでしょ？
偉そうな阿呆の書き込みを見ると疲れるな・・。
0689nobodyさん
2006/12/02(土) 14:38:37ID:???１．設定が用意されている
２．PHPはLinux以外のOSも対象にしているのでデフォルトは違う
脳みそのある人間ならこう考えるのが普通だと思う俺の視点では
＞＞＞「phpらしい駄目っぷりだ。」
こいつ痛すぎるだろｗ
で、設定変更すればよりセキュアな環境を提供できるにも関わらず
自己満足などと言い切るのは、とてもプロだとは思えないな
0690nobodyさん
2006/12/02(土) 15:36:09ID:???そういや、Windows はセキュアな擬似乱数発生器持ってないのかなー
Unix の /dev/urandom みたいなやつ
乱数発生は本来プログラミング言語レベルじゃなくて、OSがやるべき話
ハードウェアのノイズを取得するのはOSがやるのが一番効率いいし
ちなみに、乱数の安全性ってのは馬鹿にできない話だよ
「ハッカーズ その侵入の手口 奴らは常識の斜め上を行く」 にもあるように、
それでラスベガスのカジノでぼろもうけしたやつもいるしさ、オンラインゲーム(MMO)なんかでも
時間種乱数のせいでクラックされてゲームバランス崩れた例もある
>>689
> で、設定変更すればよりセキュアな環境を提供できるにも関わらず
> 自己満足などと言い切るのは、とてもプロだとは思えないな
激しく同意
0691nobodyさん
2006/12/04(月) 10:59:25ID:???クライアントから見て理解できない部分へのこだわりっていうのは、所詮は自己満足。
自己満足と分かった上でやるかやらないかだけだ。
つか、素人のくせにプロ面して語るのが激しくウザい。
0692nobodyさん
2006/12/04(月) 13:55:31ID:???0693nobodyさん
2006/12/04(月) 17:55:48ID:???0694nobodyさん
2006/12/04(月) 20:01:21ID:???つーか、単発スレ使ってるなよ。
0696nobodyさん
2006/12/04(月) 23:03:51ID:???0697nobodyさん
2006/12/06(水) 03:46:50ID:???0699nobodyさん
2006/12/07(木) 06:09:04ID:???レスありがとうございます。
それはPOSTの時にしか使えないと思いますが、GETでも必要な場合にはどうしていますか？
0700nobodyさん
2006/12/07(木) 16:25:12ID:???キャリアによるわ。
au だと EZ番号 (サブスクライバID) を常に送信するのがデフォルトだし。
個体識別番号を常に送信するのはプライバシー上問題あるが、セッションCookieにすら対応していない
糞キャリアドキュモの場合には、URIにセッションIDいれるというセッション固定攻撃の被害を受ける可能性のある
脆弱な実装しかできない。
0702nobodyさん
2006/12/20(水) 23:22:08ID:???やっつけ仕事向けのVB感覚が売りなのに、しっかり業務としてインターネットに公開している企業は痛い。
金無いのかよと(w
あと、/dev/urandumは本当に乱数かどうか検証したのか？
疑似乱数って実装は、ありがちだぞ。リナックスは変に妥協してたりするし。
で、クッキー無しでセッションを安全に使う方法ってあるの？
クッキーなんて偽造できるし、セッションIDぐらい総当たりで突破できるし。
0703nobodyさん
2006/12/21(木) 00:07:20ID:???安全にしたいならSSL＋ワンタイムパスででも武装しろよ
0705nobodyさん
2006/12/21(木) 10:30:45ID:???ものを作らせるとインターフェースが糞で使い物にならない事が多いｗ
0706nobodyさん
2006/12/21(木) 20:07:53ID:???> あと、/dev/urandumは本当に乱数かどうか検証したのか？
> 疑似乱数って実装は、ありがちだぞ。リナックスは変に妥協してたりするし。
コード見ればわかるだろ
複数のハードウェアのノイズをもとに生産している乱数であって線形合同法とか時刻などは一切使ってない
0708nobodyさん
2006/12/22(金) 01:56:52ID:???0709nobodyさん
2006/12/22(金) 02:52:42ID:???２０００万のサイトってどこだよ。
個人情報対策できてるかどうかチェックしてやるよ。
ハードウェアのノイズって割と周期的だが。
0710nobodyさん
2006/12/22(金) 03:04:32ID:Gi2E4i2d0711nobodyさん
2006/12/22(金) 04:34:25ID:???P PHPで
U 動いているので
0714nobodyさん
2006/12/22(金) 13:48:00ID:???おまいらのOSってphpで動いてるのか？
さて、次はどんな事書いて笑わせてくれるのでしょうか。この人は
0715nobodyさん
2006/12/22(金) 13:51:42ID:???＞２０００万のサイトってどこだよ。
質問の意味が分からんしｗ
俺は個人で小さな会社経営してて、小回りの効く分色んな仕事をとってこれるってだけだよ。
会社経営者なら分かると思うが、この仕事は経費作るの大変でさ、売り上げのほとんどが利益になってしまうから、
自分や従業員の給料を歩合制にしてるんだよ。
このスレにはSOHOやってるやつとかも多いんじゃね？手挙げてみ。
0718nobodyさん
2006/12/22(金) 14:30:02ID:???>あと、/dev/urandumは本当に乱数かどうか検証したのか？
「本当に乱数か」
「本当に乱数か」
「本当に乱数か」
「本当に乱数か」
「本当に乱数か」
「本当に乱数か」
「本当に乱数か」
あまりにも酷い無知加減ですね
0720nobodyさん
2006/12/22(金) 23:50:54ID:???> 疑似乱数って実装は、ありがちだぞ。リナックスは変に妥協してたりするし。
何度見ても笑えるｗ
/dev/urandun はセキュアな擬似乱数生成器だ。
擬似乱数じゃない乱数なんてPCで生成するのは不可能だから
もし、生成できるソフトがあるんだったら教えてくれ
絶対ないけどな
0721nobodyさん
2006/12/23(土) 01:32:20ID:???0722nobodyさん
2006/12/23(土) 02:08:07ID:???総当たりされたら終わりだ
phpで稼いでるのってウェブデザだろ？ プロじゃないし。
0723nobodyさん
2006/12/23(土) 09:47:05ID:???0724nobodyさん
2006/12/23(土) 11:59:28ID:???C/S廃れてからは流石にあんまし見ないけどさ。
ちなみに今業務で使ってるのもPHPです。お手軽さが売りです。
本当にどうもありがとうございました。
0725nobodyさん
2006/12/23(土) 17:39:18ID:???phpサイトも個人情報漏れまくりだ。セッションも乗っ取り放題。
0726nobodyさん
2006/12/23(土) 20:26:47ID:???0727nobodyさん
2006/12/23(土) 20:33:04ID:ul/tR+zHバック側の管理でVB使ってるところは沢山見たことあるぞ
非.NET時代のASPでも言語はVBが使われてたりしたけどな
0728nobodyさん
2006/12/24(日) 01:45:11ID:???年収１０００万以下の奴はカスだが。
どんなに素晴らしい能力があっても、ウンチクたれるだけで金稼げ無い奴は素人。
0729nobodyさん
2006/12/24(日) 04:23:20ID:???買い叩かれて氏ねば良い。
0730nobodyさん
2006/12/24(日) 19:13:32ID:???0732nobodyさん
2006/12/25(月) 13:45:11ID:???0733nobodyさん
2006/12/25(月) 13:54:35ID:???0735nobodyさん
2006/12/27(水) 20:31:17ID:???0736nobodyさん
2006/12/27(水) 21:08:54ID:uxVmAwI9インターネットオプションで、クッキーの設定を行っているのですが、
クッキーが巧いこと、保存されません。
具体的には、プライバシー設定の詳細で
「自動Cookie処理を上書きする」のチェックをon,off両方を試し、
onの場合、どちらも受け入れるを選択、常にセッションCookieを許可するのon,offの
全てのパターンで試しました。
しかし、Cookieが保存されませんでした。
こういうことってあるのでしょうか？解決方法を教えていただける方いませんか？
0737nobodyさん
2006/12/27(水) 21:42:31ID:???serversideでちゃんとクッキーが発行されているのか？
0738nobodyさん
2006/12/28(木) 10:08:55ID:hZGMKlHK0739nobodyさん
2006/12/28(木) 11:15:38ID:???0740nobodyさん
2006/12/29(金) 04:46:01ID:???ひたいおうでもうごくようにしとけ。
0741nobodyさん
2007/02/14(水) 01:24:48ID:???ちゃんと意味があるの？
というのは、session.cache_expireが180分(3時間)になってても、実際は24分で切れちゃうでしょ？
この辺を論理的に説明できる偉い人の登場を期待ｱｹﾞ
0742nobodyさん
2007/02/14(水) 01:28:14ID:GOP4vaeaついでに、このガーベージコレクションだけど、
/htdocs/を1440秒
/htdocs/admin/を3600秒に.htaccessなんかで変更した場合、（set_iniでもいいけど）
変更したディレクトリはちゃんと時間が反映されるんでしょうか？
（自分で試せば分かるだろって？そうですね・・・試してみます）
0743nobodyさん
2007/02/14(水) 01:35:37ID:GOP4vaeaなんで1440秒が勘違いかと思ったかというと、session.cache_expireが分指定だから、
session.gc_maxlifetimeも分指定の値になっているのかと。
つまり、GCは24時間毎に行う指定になっている？
でも、24時間って長すぎるよなぁ・・・
（つうか、この場合のGCってデフラグと同意だろうから、24時間サイクルじゃ頻繁すぎるのかなぁ？）
0746nobodyさん
2007/02/14(水) 03:13:21ID:GOP4vaea0748nobodyさん
2007/02/14(水) 03:28:14ID:???0749nobodyさん
2007/02/14(水) 09:53:54ID:???憑かれてる？
突かれてる？
吐かれてる？
0750nobodyさん
2007/02/15(木) 23:28:35ID:???「キャッシュ」がなんなのか理解してるか？
理解してるなら>652で十分な回答になるはずなんだが。
>>744
自分のレスを参照されてうれしかった。ありがとう。
0751nobodyさん
2007/02/17(土) 06:19:47ID:M1RBozDN君はその知識で実際に運用して、推測通りにセッションを
コントロールできてるか？伺いたいものだ。
例えば、セッション24時間にしょうとして、実現できているか？
できていないはずだ。自分で推測することは科学といわない
普遍的な（と思われる）手段で反証して確かめることが「科学的」なんだよ。
それと、デフォルトのmaxlifetimeが1440秒ということについての
ご意見をお伺いしたいのだが？
0752nobodyさん
2007/02/17(土) 10:34:49ID:???それは自然科学の考えだろ。
今相手にしているのは人工物で仕様が示されている。ソースコードもある。
デバッグを行う人間ならまだしも、利用者がその挙動確認をするために演繹を行うのは甚だ筋違いだ。
>それと、デフォルトのmaxlifetimeが1440秒ということについての
>ご意見をお伺いしたいのだが？
http://www.zend.com/lists/php-dev/200201/msg00239.html
0753752
2007/02/17(土) 10:36:45ID:???○演繹や帰納に基づく実験を〜
0754nobodyさん
2007/03/20(火) 14:00:12ID:???session_regenerate_id() でID再生成を行うと、
セッションの有効期限(gc_maxlifetime, cookie_lifetime)のカウントは
リセットされるんですか？
0755nobodyさん
2007/04/01(日) 22:23:52ID:???0756nobodyさん
2007/05/11(金) 11:21:48ID:???0757nobodyさん
2007/05/11(金) 11:56:42ID:???0758nobodyさん
2007/06/03(日) 08:49:28ID:???GCが走ったか（走るか）否かを検出する方法ってある？
あとGCが走った時ってレスポンスに差あるの？
大量のファイルを削除するのはそれなりに負荷があると思うんだけど
0760nobodyさん
2007/06/03(日) 19:09:33ID:???パーセントでgcの割合指定するのも
アクセス数に左右されるおかしな仕様だし
微妙に挙動が良くわからんし。
PHP氏ね
0763nobodyさん
2007/07/12(木) 17:47:34ID:???会員制サイトならユニークIDにしたほうが効率よくない？
セッションだと
セッション→ID&PASS→DBより一致するデータを取得
ユニークIDだと
ユニークID→一致するデータを取得
GETにでも入れておけばいいんじゃね？
0764nobodyさん
2007/07/13(金) 00:27:11ID:???0765nobodyさん
2007/07/13(金) 00:32:17ID:/IV1BAzjいりますか？ＰＨＰ５．２．２なのですがsession_start()を入れるだけで
ＰＨＰが動かなくなります。//でコメント扱いすると動作します。
ちなみにsession_start()のスペルミスなどではございません。
0767nobodyさん
2007/07/13(金) 01:04:09ID:???0768nobodyさん
2007/07/13(金) 01:07:24ID:/IV1BAzjsession_start();
としています。error_reportingが非表示？になってますので画面が白く
なるだけでエラーの内容はかえってきません。
サクラの専用サーバー借りたのですが初期設定でＧＤも使えないので
そういうのがセッションにもあるのか？と思いましてここで聞いています。
0769nobodyさん
2007/07/13(金) 04:56:09ID:???それかphp -iかphpinfoでsessionの項目見てみたら？
何で専用サーバなんて借りたんだ。
0770nobodyさん
2007/07/13(金) 06:38:58ID:/IV1BAzj専用じゃないとやれなくなりました
0771nobodyさん
2007/07/15(日) 00:37:41ID:???0772nobodyさん
2007/07/15(日) 01:08:57ID:???0773nobodyさん
2007/07/15(日) 01:32:35ID:???1.セッション付きのURLから外部のサイトに飛びました
2.外部サイトの鯖ログ（もしくはアクセス解析）に、セッション付きのURLが残りました。
3.その外部サイトの管理者がURLにアクセスしました
セッション管理法が糞なら、こんな事でハイジャックされてしまう事もあるわな。
非常に低レベルなお話だが
0774nobodyさん
2007/07/15(日) 01:33:12ID:???↑これは、リファラとしてって事な。
0775nobodyさん
2007/07/15(日) 01:49:10ID:???実装次第だけど、セッションIDがどこに保存されているかは大体目星が付くよね？
それをどうにかして奪おうと頑張る人がいるんだよ。
0776nobodyさん
2007/07/15(日) 17:28:02ID:???それってURLがPHPSESSIDってなっているサイトだよね？
たまに大手サイトであるけど、ほとんどセッションはクッキーで保存
するタイプじゃないの？
0777nobodyさん
2007/07/15(日) 22:10:31ID:???恥を知れ
0778nobodyさん
2007/07/15(日) 23:30:12ID:???けど、上記に出てるようにセキュリティ的なリスクが高いじゃないか。
0779nobodyさん
2007/07/16(月) 10:55:19ID:???携帯サイトの場合は、最低限session_nameはデフォルト以外を使う(EZwebを除く)。
ってことでOK?
0780nobodyさん
2007/07/17(火) 08:16:46ID:???セキュリティもへったくれもないような
0781nobodyさん
2007/07/17(火) 10:55:11ID:???だから、セッションIDが漏れても大丈夫なように対策をするわけだ。
非常に低レベルな対策としてはIPアドレスを使う方法だが、
これは例えばDoCoMo携帯みたいに接続ごとにIP変わる場合には使えねぇな。
DoCoMoはリファラ吐かないが、auなんかリファラ吐くから簡単にセッションIDは漏れる。
だから、例えばauの個体識別番号なんかを使って、万が一セッションIDが漏れても
大丈夫なように対策をするわけだろ？
でも個体識別番号の通知をオフにする設定も出来るわけで、そこら辺どう対策していくかとかさ。
それ以前に、最近のau機種の大半ははクッキー対応してるけどｗ
俺の管理しているサイトの鯖ログには、
mixiのセッションIDがくっついたリファラや、
YahooメールのセッションIDがくっついたリファラがたくさん残ってるが、
だからといってそのURLにアクセスｂｵても無駄だわｂﾈ。当たり前。
0782nobodyさん
2007/07/17(火) 16:09:19ID:???mixiはたぶん、毎ログインごとにセッションIDをDBに保存していると思う。
だから、1人のユーザがログインしている時だけ有効なセッションIDを
利用するから、二度と同じセッションIDは使えないわけで、
それがセキュリティ対策になっているのだと思う。
と言ってもOpenPNEのソースをみた印象なので、正しいかどうかはわからないが。
0783nobodyさん
2007/08/13(月) 17:11:35ID:2Us4/V6Clocalhost/test/sessiontest/index.php ←ここでsession_start()してprint session_id(); print session_name();
localhost/test/index.php ←ここでsession_start()してprint session_id(); print session_name();
すると両方とも名前はPHPSESSIDなんですがIDが違ってて、sessiontest/index.phpでセットした値が上の階層で使えません。
下階層でセットしたセッション情報って上の階層で拾うにはどうすればいいのでしょうか。
0784nobodyさん
2007/08/13(月) 19:51:06ID:???■ このスレッドは過去ログ倉庫に格納されています