セッションに関して

質問

こんばんは。お世話になっております。

現在、LocalにてDBを連動させたウェブアプリを開発しているのですが、レンタルサーバーにアップさせた際、今まで問題が無かったところに障害が発生してしまいました。

と申しますのも、DBにてIDおよびパスワードを参照してログインする、といった機能を有しており、ログインした際、DBに登録のあるIDなどを$_SESSION[""]= と、セッションに格納してIDを持ち歩いているのですが、他の会員（ここでいうマイページ）のページを覗くと、セッションに格納されたIDが、訪問した会員のIDと入れ替わってしまうのです。

入れ替わってしまうようなコードが存在しているのか？と、確認してはいるものの、そのようなものは見つかりません。

そもそもDBに参照した際、そのDBにあるデータを$_SESSION[""]に代入するだけのコードとなっているのですが、この時点で間違っているのか、単に入れ替わってしまうコードを見落としているだけなのか、を客観的にお聞かせ願えればと思い、投函させていただきました。

お知恵を頂くには言葉足らずなところもありますが、アドバイスのほどいただければ幸いに思っております。宜しくお願い致します。

回答No.2

fdsjaklfjas · ベストアンサー

余り詳しい状態が判らないのですが、register_globalsが悪戯をしている可能性があります。
一例ですが、mypage.phpが、以下のようなプログラムの場合、問題が発生します。

===================================
if (isset($_SESSION['userid'])) {
$userid = $_SESSION['userid'];
}
if (isset($userid)) {
echo "<p>訪問者：$userid</p>";
} else {
echo "<p>訪問者：ゲスト</p>";
}
===================================

register_globals=onの場合は要注意です。
ログインしていない状態（$_SESSION['userid']がセットされていない）で、mypage.php?userid=AAAにアクセスした場合、「訪問者：ゲスト」にはならずに、「訪問者：AAA」になります。

これと似たことが起きているのかなーと推測しています。

お礼

fdsjaklfjas様

こんにちは。早速のお返事有難う御座います。
fdsjaklfjas様のコードですが・・まさしく似たようなものを設置しております！

session変数と、GETで渡した変数は違う名称にしているのですが、
GETで渡されたIDが、セッションにセットされてしまう状況です。
そこで、「.htaccess」を設置し、register_globals=off としたところ、
無事、解決することが出来ました！
この「.htaccess」に関しても、fdsjaklfjas様のヒントの結果です。

session変数と、GETで渡している変数が違うものなのに・・と、私のスキルでは不可解なところはありますが、とりあえずこの場を凌ぎホッとしております。
有難う御座いました！

回答No.1

fdsjaklfjas

情報が余り無いので推測でしかありませんが。。。
セッションにユーザIDを格納する変数名と、マイページでGETで受け取る変数名がバッティングしていませんか？
例えば、セッションに、$_SESSION['userid']=...として、
マイページではmypage.php?userid=...というURLにしていませんか？
register_globalsがonで、variables_orderが違う環境だと、コーディングによっては変数がごちゃごちゃになって、トラブルになることがあるので。

お礼

>fdsjaklfjasさま

はじめまして。早速のお返事有難う御座います。
>変数名がバッティングしていませんか？

やはり考えられるところは、そこになるのでしょうか？
今一度見直し、改めてご報告も兼ねてご連絡いたします。
有難う御座いました。

補足

補足欄から失礼します。
>register_globalsがonで、variables_orderが違う環境だと、

ですが、只今確認したところ、variables_orderは同一。register_globalsはlocalではoff、レンタルサーバーはon となっていました。
自分でも調べてみますが、盲点となるような事があったら引き続きアドバイスなど頂けたら幸いに思います。
お忙しい中恐縮ですが宜しくお願い申し上げます。