hiddenとsession

質問

お世話になっております。
題名にある「hiddenとsession」ですが、会員登録して頂いている方に対して、データの修正（アドレスやパスワード等）などを行ってもらう場合、入力フォーム→←確認→登録といった流れを考えているのですが、あるサイトでは、「hiddenでデータを引き渡す場合、ソースにその内容が表示されてしまうため…」といった内容が記されていました。

要は重要なデータの引渡しを行う場合は、hiddenよりsessionを使うよう記されており、漠然的にその意味が分かるような気もするのですが、セキュリティ的に、どちらが優れているかの判断が理解できません。

お忙しいところ恐縮ですが、向き不向きも含め、アドバイスなどいただけたら幸いに思います。宜しくお願い申し上げます。

回答No.1

galluda · ベストアンサー

がると申します。
んと…情報をhiddenで渡すのは、いくつかの観点から明確に「セキュリティ的にNGである」ことが多いです。
たまに「hiddenでも大丈夫」という方がいらっしゃいますが。簡単に書くと、hiddenで情報をやり取りするということは「アタック可能かもしれない箇所を増やす」だけなので。sessionに「しない」理由は一つもありません。

ですので、重要であるないに関わらず「可能なかぎり」hiddenは用いない、というのがセキュリティ的には正解になります。
より正しくは。
session維持のための最低限の情報のみをhiddenでやり取りし、それ以外のすべての情報は「sessionと紐付いた形でサーバ側で管理する」のが正解になります。

お礼

galluda様

おはよう御座います。いつもお世話になっております。
などほどねぇ・・と、考えさせられました。
有識者の的確なアドバイスに感謝しつつ、早速のご回答を有難う御座いました！