遷移先で$_SESSIONの中身が消えてしまいます。なぜでしょうか。

Question

「投票する」ボタンを押すと「処理1」が表示されるページを作りたいと思っています。

しかし、結果としては「不正なリクエストです」が表示されてしまいます。

set_member.php側で$_SESSION['csrf_token']の値を確認すると何も表示されないため、
遷移先で中身が消えていると推測されますが、原因が特定できません。

環境は以下で実施しています。
・サーバー：ロリポップ
・PHP：Ver7.4(php.iniの設定はロリポップデフォルト状態)

index.php

<?php
session_start();
$toke_byte = openssl_random_pseudo_bytes(16);
$csrf_token = bin2hex($toke_byte);
$_SESSION['csrf_token'] = $csrf_token;
echo $_SESSION['csrf_token'];
            echo '<div class="box_style box_style_pink">';
            echo '    <div class="box_inner">';
            echo '        <p><font size="4">テスト</font></p>';
            echo '    </div>';
            echo '</div>';
            echo '<form action="./set_member.php" method="POST">';
            echo '        <input type="hidden" name="csrf_token" value="'.$csrf_token.'">';
            echo '        <label><input type="radio" name="data" value="a"> a</label><br>';
            echo '        <label><input type="radio" name="data" value="b"> b</label><br>';

            echo '        <button input type="submit" class="btn btn-form01 dir-arw_r btn_style03"><span class="icon_arrow_s_right"></span> 投票する</button>';
            echo '</form>';

?>    
  

    

set_member.php

<?php
session_start();
echo $_POST["csrf_token"];
echo $_SESSION['csrf_token'];

    if  ( $_POST['csrf_token'] === $_SESSION['csrf_token']) {
        echo "処理1";
            } else {
        echo "不正なリクエストです";
     }
?>

Comments

[m.ts10806]

参考サイトとは？URL提示してください。
あと「ほぼコピペ」はもはや別のものです。
完全コピペだとしても環境が全く同じでないと同じ挙動は保証されません。
自身のコードとしてきちんと見てください。
また、どういう操作して動作確認していますか？
赤の他人でも現象確認できるようにバージョンや操作手順も具体的に記載してください。

[takasima20]

なんで === で比較してんの?

[_Soma]

すみません。書いてあることは無視していただいて問題ありません。

貼ってあるコードを実行した場合、
「投票する」ボタンを押すと「処理1」が表示するページを作りたいと思っています。

PHPのVer7.4でサーバーはロリポップとなります。
php.iniの設定はロリポップデフォルト状態となります。

[m.ts10806]

回答者には書いてあることが全てなので、誤りがあるのでしたら質問修正してご提示ください。

[_Soma]

修正しました。

[m.ts10806]

ちなみに最初のフォームの画面でブラウザからhtmlを確認すると想定の値は入ってますか？

[m.ts10806]

空とnullは別物なのでvar_dumpでご確認ください

[_Soma]

フォーム画面では想定の値が入っております。
※６行目：echo $_SESSION['csrf_token']; で値は確認できる。

遷移先でのecho $_SESSION['csrf_token']はNULLとなっていました。

[m.ts10806]

hiddenのvalue値も確認しましたか？

[_Soma]

解決しました。
session_startは先頭に書く、スペースを付けるななど記事調べてて把握していたのですが
「<?php」を先頭に書かないといけなかったのは気づきませんでした。

以下で処理１が表示されるようになりました。

set_member.php
------

<?php
session_start();
・・・
------
↓修正
------
<?php
session_start();
・・・
-------

[m.ts10806]

>「<?php」を先頭に書かないといけなかった

正確には「出力の前に書く必要がある」ですね。
https://www.php.net/manual/ja/function.session-start.php
「注意」の項参照

[_Soma]

そう言われると、修正前でも問題なく動くはずなのですが・・・なぜでしょう。
もともと、1行目は改行のみで2行目から書いていたものを1行目を削除しただけなので、
出力処理はないはずですが。

[m.ts10806]

PHPタグ外はすべて出力対象です。
https://www.php.net/manual/ja/language.basic-syntax.phptags.php

[_Soma]

理解しました。ありがとうございます！

[m.ts10806]

ひとまず自己解決として解決までの経緯を投稿して締めてください

Answer 1

「session_start();」は出力前に記述必要があり、タグ外は出力対象とみなすそうです。
自分の環境では、「<?php session_start();」の記述を2行目から書いており、
「改行」の出力が事前に存在していたため、ページの遷移先で、$_SESSION['csrf_token']の中身がNULLとなっていた。

1行目から記載することで、遷移先でも意図した値を確認することができた。

Answer 2

set_member.phpで以下デバッグしてください

<?PHP
session_start();
print_r($_SESSION);
print_r($_COOKIE);

Comments

[_Soma]

↑間違えました。
set_member.php側に書くとこうなりました。

Array ( [csrf_token] => 82f2ebefa2fe88f45e4e0388e5c5bd7b ) Array ( [_im_vid] => 01F7EAMNEE83F5H67FYBQMC777 [cto_bundle] => aS0WaV9qeUJnSURFRE8lMkZlVCUyQjhaYzQzMm1HaFRQbXlhY09TRWklMkYzMUFCNzFOY2l5enQ0eTlGaXJqRzhKV0hIdVBJQk14TnRER2w1ckVwYjhybiUyQnh6RUdqMVF5dkVIb21scUdJdWNTNHR1NmdQQ045V2NJbWhCSGV0TGgxWVg2S2VGMU5pdGFWdHg2aGQlMkY1ZmolMkJSRyUyQlh0SUM0ZyUzRCUzRA [__gads] => ID=685f76aa082bb08c-22d9d81736c900d6:T=1622906954:RT=1622906954:S=ALNI_Mak3CbPX9wuTpD36mxrpRNshyE-Ug [_ga] => GA1.1.1794856836.1622908040 [_td] => b6db864a-165e-42b7-8149-bf1f8298a445 [_ga_HY4VW70JK2] => GS1.1.1623078990.10.1.1623079088.0 [PHPSESSID] => ktcras56ekppate8u5vn2d6ind )

[yambejp]

普通にセッションは引き継がれているようです
その流れなら$_POST['csrf_token'] === $_SESSION['csrf_token']の
条件式はtrueになるはずです

[_Soma]

元のコードに先ほどのを追加しました。
FALSEになっているようです・・・。

a92b84e386cb3a9f02d3c3b99f67e9ddArray ( [_im_vid] => 01F7EAMNEE83F5H67FYBQMC777 [cto_bundle] => aS0WaV9qeUJnSURFRE8lMkZlVCUyQjhaYzQzMm1HaFRQbXlhY09TRWklMkYzMUFCNzFOY2l5enQ0eTlGaXJqRzhKV0hIdVBJQk14TnRER2w1ckVwYjhybiUyQnh6RUdqMVF5dkVIb21scUdJdWNTNHR1NmdQQ045V2NJbWhCSGV0TGgxWVg2S2VGMU5pdGFWdHg2aGQlMkY1ZmolMkJSRyUyQlh0SUM0ZyUzRCUzRA [__gads] => ID=685f76aa082bb08c-22d9d81736c900d6:T=1622906954:RT=1622906954:S=ALNI_Mak3CbPX9wuTpD36mxrpRNshyE-Ug [_ga] => GA1.1.1794856836.1622908040 [_td] => b6db864a-165e-42b7-8149-bf1f8298a445 [_ga_HY4VW70JK2] => GS1.1.1623078990.10.1.1623079088.0 [PHPSESSID] => ktcras56ekppate8u5vn2d6ind ) 不正なリクエストです

[yambejp]

そうなるとset_member.phpをこうしてみるとか
<?PHP
session_start();
echo strlen($_POST["csrf_token"])."<br>";
echo strlen($_SESSION['csrf_token']);

[_Soma]

やはり、$_SESSION['csrf_token']の中身は消えているようです・・・

32
0不正なリクエストです

[yambejp]

その前のテストで
Array ( [csrf_token] => 82f2ebefa2fe88f45e4e0388e5c5bd7b )
だったんですよね？

[_Soma]

あれ、、、コード間違えたのか今やっても出てきません。
すみません。
Array ( [_im_vid] => 01F7EAMNEE83F5H67FYBQMC777 [cto_bundle] => aS0WaV9qeUJnSURFRE8lMkZlVCUyQjhaYzQzMm1HaFRQbXlhY09TRWklMkYzMUFCNzFOY2l5enQ0eTlGaXJqRzhKV0hIdVBJQk14TnRER2w1ckVwYjhybiUyQnh6RUdqMVF5dkVIb21scUdJdWNTNHR1NmdQQ045V2NJbWhCSGV0TGgxWVg2S2VGMU5pdGFWdHg2aGQlMkY1ZmolMkJSRyUyQlh0SUM0ZyUzRCUzRA [__gads] => ID=685f76aa082bb08c-22d9d81736c900d6:T=1622906954:RT=1622906954:S=ALNI_Mak3CbPX9wuTpD36mxrpRNshyE-Ug [_ga] => GA1.1.1794856836.1622908040 [_td] => b6db864a-165e-42b7-8149-bf1f8298a445 [PHPSESSID] => ktcras56ekppate8u5vn2d6ind [_ga_HY4VW70JK2] => GS1.1.1623115392.11.0.1623115394.0 ) 不正なリクエストです

[_Soma]

↑これ呼びました。
<?PHP
session_start();
print_r($_SESSION);
print_r($_COOKIE);
if ( $_POST['csrf_token'] === $_SESSION['csrf_token']) {
echo "処理1";
} else {
echo "不正なリクエストです";
}
?>

[_Soma]

デバッグコードのみで実行したとき、
「<?PHP」を１行目に記載していたので表示されたようでした。
実コードも１行目から記載したら意図通りの動きをしました。
お手数おかけして申し訳ありません。無事解決しました。
フォローありがとうございました。

[yambejp]

> 「<?PHP」を１行目に記載していた

その前になにか出力があったのですね？
セッションはあらゆる出力より前に指定する必要がありますので
ご留意ください

[_Soma]

>その前になにか出力があったのですね？
ないです・・・。
１行目は改行で２行目から記載してたので１行目を削除したら意図通りに動きました。
不思議です。

Answer 3

まずはSessionが有効になっているか？ 有効になっている場合はSessionデータを書き込むディレクトリのオーナーやパーミッションが正しいか？ セッションの有効期限が正しく設定されているか？ を確認してみてください。

参考）
https://egapool.hatenablog.com/entry/2016/12/16/001748