- ベストアンサー
※ ChatGPTを利用し、要約された質問です（原文：セッション）
セッションを使用したwebサイトのユーザ認証について
このQ&Aのポイント
- phplibを使用せずにセッションを利用したwebサイトのユーザ認証方法について教えてください。
- セッション名によるユーザ判定でログインを行うセッションベースのユーザ認証は安全なのでしょうか？
- 一般的なパスワード制のwebページではどのような処理が行われているのでしょうか？
- nancy_and_andy
- お礼率93% (14/15)
- PHP
- 回答数2
- ありがとう数3
- みんなの回答 （2）
- 専門家の回答
質問者が選んだベストアンサー
- ベストアンサー
noname#3574
回答No.2
読み間違いしていました、前回の回答を撤回します； 申し訳ないです。 その処理で問題無いと思います。 セッションIDの取り回しに気をつける必要があります。IPAのドキュメントや書籍、雑誌に色々と載っていると思います。 失礼いたしました (_ _)
その他の回答 (1)
noname#3574
回答No.1
if($_SESSION[pass] == $array['pass']){ とやっているようですがセッションに情報そのものを含めるべきではありません。 セッションIDはサーバーに格納された情報を引き出す鍵として扱うべきです。 IDやパスワードなどの情報そのものでないとしてもセッションハイジャックの危機は認識する必要があります。 セッション自体に情報そのものを格納しない理由は銀行のキャッシュカードに預金情報そのものが格納されているとどうなるかを考えると想像できるでしょうか。銀行側で口座データを管理してこそ信頼できるワケです。 まずセッションの使い方だけでなく考え方も書かれた書籍なりを探し、またはフリーなコードを読み、自己流でない先達の知恵と知識からセッションへの考え方を得てください。 その次にその方法を自分でセッションを作って色々試して踏襲してみると肌で理解できるようになると思います。 遠回りに思えてこれが一番の近道な気がします。 Mozilla を使うとCookie情報の閲覧が楽になります。
お礼
ご解答ありがとうございました。 参考URLを読んでみようと思います。 確かに、#1でご指摘されたようにセッションを使う前に、セッションとは何かがいまいち理解しきれていない気がします。 phplibのコードを読んで何かが見えかけた気も・・・