セッションに関する認証について

質問

こんにちは。お世話になっております。
これまで多くの有識者よりご指導頂き、セッションを用い、ログイン認証を取り入れたサイトを作成しておりますが、その中で、会員登録してもらった際、登録したアドレス宛てにメールを送信し、メールに記載したURLをクリック（＆DB問い合わせ）してもらう事で、実在するアドレスかどうか、を認証する機能を作っています。

メールに記載するURL
http://localhost/confirm/index.php?time=$time&mail=$mail

現在テスト段階と言う事もあり、複数のブラウザを開き、各々違うユーザでログインしているときなどがあるのですが、送られてきたURLをクリックすると、ログアウトせずブラウザを閉じたユーザ名でログインしてしまう、といった現象が起こっております。

そこで、その対処法として、そのURLのファイル上に、
session_start();
session_destroy();
session_start();
などと、一旦セッションを削除し、セッションを再スタートさせる事で対処しておりますが、以上のような現象は、「そもそも何処か間違ったコーディングをしているのでは？」といった不安から、今回投函させていただきました。

まとまりの無い文章、かつ抽象的な質問では御座いますが、考えられる要素およびその適切な対処法など、アドバイス頂けたら幸いに思っております。
知識不足からくる不安ですが、宜しくお願い申し上げます。

回答No.1

nezumi0t0k0 · ベストアンサー

セッションに格納した情報は当然サーバーに保存されます。
セッションはクライアントごとに存在するわけですが、
複数ある中からそのクライアント用のセッションをどうやって探し出すのでしょうか？
それがクライントに対して発効されるユニークな「セッションID」です。
サーバーはセッションIDからそのクライントのセッション情報を探し出します。

さて、そのセッションIDは誰がどこに保存しておくのでしょうか？
これはクライント側です。クライント側が自分のセッション情報を覚えているのです。
その場所はURLの中(つまり画面の中)だったりクッキーだったりします。
場所についてはサーバー側の設定次第なのですが、通常はクッキーを使っていることでしょう。

では、ブラウザのウィンドウが複数存在する場合や、
別プロセスで起動している複数のブラウザがある場合、
ブラウザはクッキーの情報も別々に管理するのでしょうか、それとも共通のクッキーを使うのでしょうか？
つまり、ブラウザ毎にセッションを共有しているのでしょうか、それとも共有していないのでしょうか？

これはブラウザに異存する問題です。
IEの場合プロセスが違えばクッキーも別のようです。Firefoxは共通のようです。

ここまで問題が生じる原理を書いてみましたが、私もこの問題の単純な解決方法を知りません。。。
というわけで解決策は別の人に委ねます。
私自身は、一つのウィンドウでログアウトしたらもう一方でもログアウトでもいいや、という感じで諦めてます。

因みに、上に書いたようにIEはプロセス毎にクッキーを独立させられるようなので、
単に複数のユーザーでの振舞いをテストしたいなら、
IEを別プロセスで起動して(つまり完全に別々に起動して)テストすると良いと思います。

ちなみに、上で説明した理由により、
> そこで、その対処法として、そのURLのファイル上に、
> session_start();
> session_destroy();
> session_start();
このURLにアクセスしたのとは別にウィンドウが立っている場合にはそちらに強い影響を及ぼすと思われます。
突如セッションがクリアされるわけなので。

回答No.2

nezumi0t0k0

>ちなみに、上で説明した理由により、
>> そこで、その対処法として、そのURLのファイル上に、
>> session_start();
>> session_destroy();
>> session_start();
> このURLにアクセスしたのとは別にウィンドウが立っている場合にはそちらに強い影響を及ぼすと思われます。
> 突如セッションがクリアされるわけなので。

舌足らずなので補足です。
突如といってもプログラムを実行している途中にセッションが無くなるわけではありませんよ。
次の画面にジャンプしたら前の画面でセッションに入れたはずのデータが無い、という状況になるというだけです。
しかし、そもそもセッションは一定時間で削除されるものなので、それは特殊な状況ではなくて、常に起こりうる状況です。

お礼

nezumi0t0k0様

こんばんは。お世話になっております。
No1も含め、ご丁寧なアドバイスを有難う御座います。
セッションはサーバー側で、クッキーはブラウザ側で、という程度の知識しかなく、その仕組みを想像しながらスクリプトを…。などといった感じですが、nezumi0t0k0様からのアドバイスを基に、改めて仕組みを考えてみたいと思います。

ところで、
> このURLにアクセスしたのとは別にウィンドウが立って
>いる場合にはそちらに強い影響を及ぼすと思われます。

ですが、全てのウィンドウを閉じても、ログアウトせずに閉じたユーザでログインしてしまうといった状況になっています。
これもクッキーとの関わりなんでしょうが（と、思ってる。）、クッキーとセッションの相互関係を（頭に）描く事が出来ず、セッション終了＆開始、といった半ば強制的な？対処でした。

いずれにしても、改めてお礼も兼ねご報告させて頂きます。有難う御座いました。

補足

nezumi0t0k0様

こんばんは。まだまだ理解に乏しいところは御座いますが、nezumi0t0k0様のご説明で大分前進できたと思っております。
ご挨拶が遅れてしまいましたが、これにてお礼の言葉と代えさせて頂きます。有難う御座いました。