phpで$_SESSION配列に文字列を格納後、次の次の遷移で$_SESSIONが消える

Question

お世話になります。

前提・実現したいこと

$_SESSION情報の維持

プログラム全体の目的は、ユーザーが既に登録したメールアドレスを変更するとき、
新しいメールアドレスに、ランダムな文字列を送り、これをフォームに入力させて
新しいメールアドレスが、確かに本人の物であると確認する、というものです。

発生している問題・エラーメッセージ

ログイン直後、1ページ目にログインした旨を示す文字列を
$_SESSION['login']に格納しました。このページからの
遷移ではこの文字列が$_SESSION['login']に残っていますが、
その次の遷移後に$_SESSIONが空になっています。

該当のソースコード

1ページ目

<?php
session_start();
session_regenerate_id(true);
//ログイン手続きは長いので省略
$_SESSION['login']="login";
?>
 <p>変更後のメールアドレス：</p>
    <form action="２ページ目のURL" method="post">
    <input type="email" name="Newmail" size="60" maxlength="255">
<input type="submit" value="メールアドレスを変更">
</form>

2ページ目

<?php
session_start();
require "random.php";//乱数を作る手製ライブラリ
$sessionname=generate_password(32);
session_name($sessionname);
session_regenerate_id(true);
var_dump($_SESSION);//この時点ではセッション情報が残っている


$pass=generate_password(10);//10文字の乱数を作る

//ここで$passをデータベースにpassword_hashを通して保存

mb_send_mail($_POST['Newmail'],"メール変更キー送付　ご利用をありがとうございます。",$pass);//キーをメールで送付

?>
<p>キーを入力</p>
<form action="３ページ目のURL" method="post">
<input type="password" name="NewmailKey" size="60" maxlength="255">
<input type="submit" value="メールアドレスを変更">
</form>

3ページ目

session_start();
session_regenerate_id(true);
var_dump($_SESSION);//ここで消えたことが確認された

どうすれば、セッション情報が安全に継続されますか。

Comments

[colling]

session_idの書き換えが間に合わないほどの速さのページの遷移はどのようにして行っているのでしょうか？

[valval]

フォームのテキストボックスに文字列をコピペ等で書き込み、送信ボタンを押しています。

[colling]

それだと、HTMLが描画されているので、ブラウザがクッキーにセッションIDを書き込むまでに遷移してるとは考えにくいですねぇ。記載されている以外のコードに何かありそうな気がします。

[colling]

もしかして送信ボタンを押してからsession_regenerate_id()して次ページに移動するような処理にしています？

[valval]

２ページ目から３ページ目への遷移は、送信ボタンのみで、３ページ目でsession_regenerate_id()を行っています。

[valval]

関係ないと思っていたのですが、コードを見直した所、２ページ目でsession_regenerate_idの前に、セッション名の変更を行っておりました。

[colling]

セッション名を変更しなければ大丈夫かと思います。（たぶん）

Answer 1

2ページ目には、sesstion_name()があるみたいなので、そこが問題かと思います。

session_name()はsession_start()よりも前にあるべきです。

PHPマニュアル抜粋

リクエストが開始された際にセッション名はリセットされ、 session.name に保存されたデフォルト値に戻ります。 よって、各リクエスト毎に(そして session_start() または session_register() をコールする前に) session_name() をコールする必要があります。

--追記--
そして、独自のセッション名を使うには、毎ページ同じ値でsession_name('hogehoge')が必要です。

Comments

[valval]

仰る通りでした。ありがとうございます。

[colling]

スクリプトでランダム生成された　session_name() は、ランダム値をどうやって保持するかという問題がありますので、仕様上ちょっと難しそうですね。
日付のハッシュ化（24時間は同じ）や、日付+時のハッシュ化（１時間は同じ）なら使えそうです。

[valval]

ありがとうございます。
デフォルトのPHPSESSIDでは危ないから変更するべきという話を聞いたので、よくわからないまま乱数で変更しておりました。
勉強になりました。

Answer 2

調べた感じだと'session_regenerate_id()'の実行タイミングの問題のようです
https://teratail.com/questions/36990

Comments

[valval]

ありがとうございます。
確かに、
https://senews.jp/session-kireru/
という記事でも、その関数が悪さをしているという指摘がありましたが、
だとしたら、どうしたらよいか、どのタイミングでその関数を走らせるかで、困っています。
安全面に配慮するのは当然だとしても、それで挙動が怪しくなるので、手詰まり感があります。

[teikoku-penguin]

'session_regenerate_id(true)'はセッションIDの書き換えを行います
2ページ目でセッションIDを書き換えた後にすぐ3ページ目に遷移すると3ページ目へのセッションID書き換えの伝達が間に合わず、結果3ページ目でのセッション配列参照時に値が入っていない状態になっていると思われます。
考えられる対策としては'3ページ目への遷移を少し遅らせる' or 'あまり頻繁にセッションIDを書き換えない'ではないでしょうか？
ページ毎にセッションIDを書き換える必要があるかどうか次第で決めると良いと思います。

[valval]

ありがとうございます。検討します。