Perl/CGIでhtaccessを使用しない承認システム

質問

Perl/CGIで.htaccessを使用しない下記のようなユーザー承認システムを作ろうと考えています。

-SSLでやり取りする情報を暗号化
-クッキーにパスワードを記憶
-承認後のページはCGIで生成
-パスワードはPublic_htmlより上に保存

この場合、セキュリティ上何か問題があるでしょうか。
また、それ以外のアドバイスもありましたらご指南よろしくお願いします。

回答No.2

estea · ベストアンサー

パスワードやIDに認証した時間とかのセッション情報をサーバサイドにおいておいて、それに一意なコードを振ってそれを渡すとか。

あ、クッキーも暗号化して食わせてやれば問題ないのかもしれん。

お礼

回答していただいてありがとうございます。
ｅｓｔｅａさんのアドバイスを参考にさせていただきます。

回答No.1

estea

はじめまして。

クッキーにパスワードを食わせる部分はどうかとも思いますが、おおよそ問題ないと思います。

お礼

回答ありがとうございます。

ここでまた質問させていただきたいのですが、クッキーを使用しないでユーザーが承認された状態を維持するにはどうしたらよいでしょうか。

隠しフォームでパスワードを送信する方法ではソースを見られるとパスワードがバレてしまいますし、他にいい方法がありますか？

お時間がありましたら、よろしくお願いします。