PHP セッションについて

Question

PHPでセッションの取得方法について、困っています。

■ファイル構成
・index.php
・mailsend.php
・thanks.php

【index.php】

<form action="mailsend.php" method="post" id="mail" target="_blank">
<?php
print "<input type="hidden" name="mailadress" value="$mailadress">";
?>
<input type="submit" name="mail" id="mail" value="送信">
</form>

※このindex.phpはテンプレートで、データベースにより、ページ内容の違うものが生成されるようになっています。（index1.php、index2.php、index3.php…のような感じです。）

【mailsend.php】
メールを送る処理と、thanks.phpに移動する処理が書かれています。

【thanks.php】
セッションを削除する処理が書かれています。

// セッションの開始
     session_start();
// セッション変数の初期化
    $_SESSION = array();
// セッションファイルの削除
    session_destroy();

index.phpからmailsend.phpに$mailadressの値を渡さないといけないのですが、
input type=hidden
でしてしまうと、ソースを見た時にアドレスが分かってしまいます。

そこで、セッションを使ってみたのですが、

session_start();
$_SESSION["mailadress"] = "$mailadress";

そうすると、送信ボタンがクリックされずに他のindexページに移った場合、
そのセッションの値がそのままになってしまってしまいます。

つまり、

↓index1.phpを表示
↓セッションでメールアドレス：index1＠が取得される
↓index1.phpでは送信ボタンを押さずにindex2.phpへ移動
↓index2.phpで送信ボタンを押すと、index2＠ではなくindex1＠へ送信されてしまう

例えば、送信ボタンをクリックした時のみセッションを開始するなど…
何か良いやり方をご教授いただけないでしょうか。よろしくお願いいたします。

Answer 1

やろうとしていることがよくわからないのですが、
セッションに格納されているメールアドレスはどこで発生したものなのでしょうか？

もしPOSTするユーザが入力したデータなのだとすれば、hiddenでメールアドレスが見えてもそれは問題になりません。

そうでは無く、
サーバ側にあらかじめ保存されているメールアドレスであり、ユーザには知られたくないメールアドレス
だということであれば、hiddenに送信事に一意なメールアドレスのID（推測されにくいランダムな文字列だといいですね）を入れてどのフォームから送信されたかわかるようにして、
mailsend.php でメールアドレスのIDと実際のメールアドレスをマッチングさせてメールを送信する。という実装が素直だと思います。

Comments

[phpjo]

分かりにくい説明で申し訳ありません。
ひとまずは、暗号化して埋め込む方法でしのぐことにしました。
他者から引き継いだもので、私自身まだ駆け出しなので、もう一度しっかりヒアリングしたいと思います。
今後作り直す必要がありそうなので、マッチングでの方法、参考にさせていただきます。
本当にありがとうございました。

Answer 2

普通はデータベースに登録されているメールアドレスを特定するためのキーだけを渡して mailsend.php でキーを使ってメールアドレスを取得し直します。

ただ、ここがよくわからないのですが、
↓index1.phpを表示
↓セッションでメールアドレス：index1＠が取得される
↓index1.phpでは送信ボタンを押さずにindex2.phpへ移動
↓●セッションのメールアドレスがindex2@で上書きされ、index1@は消える
↓●その後 mailsend.php では正常に index2@ に送信される

とならないのはなぜでしょうか。

(まぁこれはどっちみち同一セッションのウィンドウを2つ開くと崩壊する方法なのでおすすめしませんが)

他には、暗号化して埋め込むなどの方法がありますね。

Comments

[phpjo]

分かりにくい説明で申し訳ありません。
ひとまずは、アドバイスいただいた暗号化する方法でしのぐことにしました。
なぜセッションが上書きされないのか、原因は分からないままです。
他者から引き継いだもので、私自身まだ駆け出しなので、もう一度しっかりヒアリングしたいと思います。
本当に助かりました。ありがとうございました。