セッションIDが毎回変わることを防ぐ方法

Question

実現したいこと

Ajaxでデータの送受信を行っていて、確認でセッションIDでの認証も行っているのですがセッションIDが毎回変わってしまい認証されません。
なので、受信するPHPファイルのアクセスの時だけセッションIDが変わらないようにしたいのですが検索しても出てこないので、やり方がわかりません。

また、

session_regenerate_id();

とは入れていないです。

コード

ajax.php

xhr.send('token=<?php echo session_id(); ?>');

get.php

if(isset($_POST["token"])){
 if($_POST["token"]===session_id()){
  //処理
 }else{exit("tokenerror");}
}else{exit("posterror");}

そして、get.phpのif($_POST["token"]===session_id()){の前に

exit($_POST["token"].":".session_id());

の処理を入れ確認したところ、違うセッションIDとなっていました。

よろしくお願いします。

Comments

[m.ts10806]

そもそもですがtokenにセッションIDを入れるのはセキュリティ的にマズいのではないでしょうか（何を参考にしましたか？）

[ockeghem]

複数のホスト（オリジン）にまたがった処理でしょうか。それとも単一ホストでしょうか?
もう少し前後のコードを見せていただかないと回答がしにくいです。

Answer 1

セッションIDが毎回変わってしまい認証されません。

原因は Ajaxによるサーバーへの要求に セッションCookie が含まれていないため
サーバー実装が「新規のアクセスとみなして、新しいIDを発行」しているのです。

「セッションの概念」を再確認しましょう。

受信するPHPファイルのアクセスの時だけセッションIDが変わらないようにしたい

サーバー実装だけでなく、ブラウザ側も確認しましょう。

XMLHttpRequest オブジェクトは、デフォルトだとCookieを送信しません。
ですので、withCredentials を設定する必要があります。

Answer 2

今回はサーバーのphp.iniの設定が何かの原因で初期化されてしまっていたことでした。

元に戻すことで解決できましたが、php.iniのどの設定なのかは申し訳ありませんがよくわかりませんでした。

回答していただいた方、ありがとうございます。