セッション使用時のセキュリティについて

質問

問い合わせフォームをPHPで書いています。
基本的な流れは
"1.html"(入力フォーム表示)
↓
"2.php"(入力内容を確認してもらいます)
↓
"3.php"(入力内容を送信します)
です。

"1.html"
フォームを表示して、入力してもらいます。
POSTでデータを2.phpに渡します。

"2.php"
POSTされたデータを表示し、入力内容を確認してもらいます。
入力内容をチェックし、不備が無ければsession_start()し、$_SESSION変数に値を入れます。

"3.php"
session_start()し、$_SESSION変数を使用します。
$_SESSION変数を使い終わったら、以下でセッションを破棄します。
$_SESSION=array();
session_destroy();
クライアント側のクッキーを削除します。
setcookie("PHPSESSID", '', time() - 42000, '/');
$_COOKIE=array();

以上の手続きをしていますが、セキュリティの観点で見直した方が良い点はありますか？
"2.php"の時点でセッションを開始していますが、もしその時点で送信(submit)しなければ"3.php"でのセッション削除が実行されない為、セッションとクッキーが残ってしまうと思いますが、どの様な問題が生じますか？

アドバイスを宜しくお願いします。

回答No.1

hogehoge78 · ベストアンサー

フォームの遷移を、2.phpで諦めて別ページに行ってしまった後に、
直接2.phpにアクセスすると、入力された情報が再度表示されます。

入力者が共有PCなどを使っていた場合に、情報が盗み見られる可能性は否定できません。
ただ、Cookieの有効期限を特に設けていないのであれば、ブラウザさえ閉じれば、同じSessionにアクセスすることが出来なくなります。
後はphp.iniなどで設定しているSessionのGCのタイミングでSessionも削除されます。

なので対策の例としては、2.phpには、POSTメソッド以外でアクセスされた場合に、SessionとCookieの削除を行い、1.phpにでもリダイレクトしたりとか、exitとかでレンダリングしないようにする。

といったところでしょうか。

補足

ありがとうございます。
セッション、クッキーについて詳しく調べたのは初めてなので、
セッションとクッキーについての理解が不足しています。

セッションはサーバ側、クッキーはクライアント側くらいは理解出来ましたが、
クッキーが生成されるのは、session_start()が実行されたらすぐに出来るのか？
それともsession_start()が含まれているプログラムが全て実行されてから生成されるか？
など、なんとなく気になってしょうがありません。

お教え頂いたとおり、2.phpに$_SERVER['HTTP_REFERER']と$_SERVER["REQUEST_METHOD"]を使用し、1.htmlから来ているか、リクエストメソッドはPOSTかを調べ、もしそうで無ければ、セッションとクッキーを削除してから再び1.htmlの入力フォームに飛ばすようにしてみました。

"2.php"の確認画面でリロード出来る事と、最後の3.phpから2.phpに戻る事が出来るのが気になってしょうがありません。

回答No.2

hogehoge78

＞クッキーが生成されるのは、session_start()が実行されたらすぐに出来るのか？
＞それともsession_start()が含まれているプログラムが全て実行されてから生成されるか？
クッキーは、HTTPのヘッダの一種で、持続的に値を持たせる為に開発されたものです。セッションは、そのクッキーを利用したものに過ぎません。
前述したとおり、HTTPのヘッダの一種なので、header関数と同様に、何らかの出力が行われる前、が正解です。

それではセッションとは何なのか、というところですが、PHPのセッションは、session_start関数を叩くと、まず、ユニークなIDを生成します。
ユニークなIDを生成したら、そのIDの名前が付いているファイルを生成して、サーバのphp.iniで設定してあるディレクトリに保存します。
その後、クッキーにそのIDを渡します。
ブラウザはクッキーが生きている間、セッションのIDを持っていることになるので、次にPHPにアクセスしたとき、サーバに保存したセッションファイルの名前とクッキーに持たせたIDを照合して、そのIDと紐付けられたセッションに持たせた値（$_SESSIONの中身）を展開できる、というものです。

＞"2.php"の確認画面でリロード出来る事と、最後の3.phpから2.phpに戻る事が出来るのが気になってしょうがありません。
この問題は、キャッシュコントロールと、ワンタイムトークンにて、対策を行うことになるのですが、一口に説明できる内容ではないので、一度Googleなどで調べてみてください。

補足

丁寧な解説をありがとうございます。
お陰さまでおぼろげながらですが、理解出来た気がします。

リロード対策としては、以下のアドレスを参考にしてみました。
http://itpro.nikkeibp.co.jp/article/COLUMN/20070910/281585/

キャッシュコントロールやワンタイムトークンについては改めて調べてみます。
アドバイスありがとうございました。