質問をすることでしか得られない、回答やアドバイスがある。

15分調べてもわからないことは、質問しよう！

質問する

ただいまの
回答率

90.42%

  • PHP

    21853questions

    PHPは、Webサイト構築に特化して開発されたプログラミング言語です。大きな特徴のひとつは、HTMLに直接プログラムを埋め込むことができるという点です。PHPを用いることで、HTMLを動的コンテンツとして出力できます。HTMLがそのままブラウザに表示されるのに対し、PHPプログラムはサーバ側で実行された結果がブラウザに表示されるため、PHPスクリプトは「サーバサイドスクリプト」と呼ばれています。

  • SSL

    540questions

    SSL(Secure Sockets Layer)とは、暗号化されたプロトコルで、インターネット上での通信セキュリティを提供しています。

SSLと非SSLのページでのSESSIONについて

解決済

回答 2

投稿 ・編集

  • 評価
  • クリップ 0
  • VIEW 1,191
abababa03

abababa03

score 8

こんにちは、いつもお世話になっております。
SSLと非SSLのページでのセッションのやりとりができずに困っています。

それぞれURLはこんな風になっております。

http://ドメイン/hoge.php
https://ドメイン.ssl-xserver.jp/fuga.php

やりたいのは非SSLのページで保存していた$_SESSION['hogehoge']をSSLのページでも使用したいということなのですが、SSLのページで$_SESSION['hogehoge']は取得できていませんでした。

そこでsession_idを確認したところ違うものが入っていたので、非SSLからSSLに行くときにpostでsession_idを渡たし、SSLページに非SSLと同じsesstion_idを設定することができました。

しかしまだSSLページで$_SESSION['hogehoge']は取得できませんでした。

このような場合何が原因として考えられますか？また、私がやろうとしていることはそもそも不可能なのでしょうか？
文字ばかりでわかりにくいかもしれませんが、よろしくおねがいします！

ご指摘をいただきました。hoge.phpとfuga.phpは同じサーバー内にあります。

  • 気になる質問をクリップする

    クリップした質問は、後からいつでもマイページで確認できます。

    またクリップした質問に回答があった際、通知やメールを受け取ることができます。

    クリップを取り消します

  • 良い質問の評価を上げる

    以下のような質問は評価を上げましょう

    • 質問内容が明確
    • 自分も答えを知りたい
    • 質問者以外のユーザにも役立つ

    評価が高い質問は、TOPページの「注目」タブのフィードに表示されやすくなります。

    質問の評価を上げたことを取り消します

  • 評価を下げられる数の上限に達しました

    評価を下げることができません

    • 1日5回まで評価を下げられます
    • 1日に1ユーザに対して2回まで評価を下げられます

    質問の評価を下げる

    teratailでは下記のような質問を「具体的に困っていることがない質問」、「サイトポリシーに違反する質問」と定義し、推奨していません。

    • プログラミングに関係のない質問
    • やってほしいことだけを記載した丸投げの質問
    • 問題・課題が含まれていない質問
    • 意図的に内容が抹消された質問
    • 広告と受け取られるような投稿

    評価が下がると、TOPページの「アクティブ」「注目」タブのフィードに表示されにくくなります。

    質問の評価を下げたことを取り消します

    この機能は開放されていません

    評価を下げる条件を満たしてません

    評価を下げる理由を選択してください

    詳細な説明はこちら

    上記に当てはまらず、質問内容が明確になっていない質問には「情報の追加・修正依頼」機能からコメントをしてください。

    質問の評価を下げる機能の利用条件

    この機能を利用するためには、以下の事項を行う必要があります。

more_vert2 件の質問への追記・修正依頼

質問への追記・修正、ベストアンサー選択の依頼

  • unau

    unau

    2016/05/16 10:38

    hoge.php と fuga.php、それぞれは同じサーバにあって、URL が違うだけと思っていいのですか。
    そこを明確にしてください。

    キャンセル

  • abababa03

    abababa03

    2016/05/16 10:41

    同じサーバー内です。失礼いたしました。

    キャンセル

回答 2 件

link

checkベストアンサー

+1

外から与えられたセッション ID を使う、という設計はセッション固定攻撃の隙を作りますし、そもそも筋が悪いのでやめたほうがいいと思います。
商品を渡すときの引換券を、お店が発行したものではなく、来店してきた人が勝手に作ってきたものを有効と認めるような話ですから。

SSL ページと非 SSL ページが同一サーバ内という追加情報を得て、の追記です。

PHP の (組み込みの) セッションは、セッション ID を cookie で受け渡す仕組みですから、ドメインが異なっても同じセッション ID を送る、というのは無理でしょう。

こういうときに PHP でやる定石みたいのはありそうですが、私が今思いつくのは、http と https のどちらからも共有できる情報の領域を確保し、どちらからも使うものはいわゆるセッションではなく、その領域に格納する、という方法かな、と。http, https それぞれのいわゆるセッションの関連付けは、http から https に遷移する際に推測困難なトークンを渡す、とかで行うとして。

投稿

編集

  • 回答の評価を上げる

    以下のような回答は評価を上げましょう

    • 正しい回答
    • わかりやすい回答
    • ためになる回答

    評価が高い回答ほどページの上位に表示されます。

  • 回答の評価を下げる

    下記のような回答は推奨されていません。

    • 間違っている回答
    • 質問の回答になっていない投稿
    • スパムや攻撃的な表現を用いた投稿

    評価を下げる際はその理由を明確に伝え、適切な回答に修正してもらいましょう。

  • 2016/05/16 10:56

    ご回答ありがとうございます！

    ＞外から与えられたセッション ID を使う、という設計はセッション固定攻撃の隙を作りますし
    おっしゃる通りかと思います。。。
    最初は非SSLのページとSSLにしたページとでセッションIDが違うとは思ってなかったのでこのようになってしまいました。

    セッションIDが別になってしまう原因はお分かりになられますか？そこが自分の中で一番腑に落ちてないところでして。他のページで特別にセッションIDの操作などは行っていません。

    そういうものと言われればもう仕方ないので、セッションを使わないほかの方法を考えてみようと思います。

    キャンセル

  • 2016/05/16 11:13

    追記ありがとうございます！

    ＞http と https のどちらからも共有できる情報の領域を確保

    「共有できる情報の領域」となると自分が思いつくものはデータベースくらいしかないのですが、それ以外になにかあるのでしょうか？

    キャンセル

  • 2016/05/17 04:13

    PHP でいうところのいわゆる「セッション」はクッキーを利用しています。セッションとクッキーについては、次の質問に対する私の回答もご一読ください。
    https://teratail.com/questions/33522

    一つ、先に確認しておきます。
    「http://ドメイン/hoge.php」と「https://ドメイン.ssl-xserver.jp/fuga.php」とありますから、http の方は「ほにゃらら.ssl-xserver.jp」ではない、ということですよね。
    cookie の仕組み上、違うドメインに同じ cookie は (すなわち同じセッション ID は) 送りません (サブドメインが違うだけのところになら cookie の設定で同じ cookie を送れる)。

    キャンセル

  • 2016/05/17 20:18

    同じサーバー内でも「http://ドメイン/hoge.php」と「https://ドメイン.ssl-xserver.jp/fuga.php」がそもそもサブドメインではないから共通のセッション、クッキーは利用できないんですね。

    何度も親切にご回答いただきありがとうございました。なぜできないのか理解できました！

    キャンセル

  • 2016/05/17 23:47

    「共有できる情報の領域」としてはファイルシステムもあります。PHP のデフォルトのセッション情報獲得領域はファイルシステムだったはずです。
    ちなみに、PHP のセッション情報の格納場所はセッションハンドラをカスタマイズすることで変更できます。まあ、今回はあまり関係ありませんが、次のページなどが参考になるかと。
    http://php.net/manual/ja/session.customhandler.php

    キャンセル

link

+1

HTTPとHTTPSでホスト名が異なるのでセッションが別々になってしまっているのですね。
一般的によく使われるのは、HTTP側のセッションIDをform内に常に持たせてpostさせる、という方法でしょうか。
これは、最初にされていた方法ですね。

phpではセッション情報は通常、ファイルで保存されています。
ファイル名は「sess_セッションID」です
そのファイルが保存されるディレクトリはsession_save_path()で取得できます。

保存する際は、
file_put_contents(上記で生成したファイルのフルパス, session_encode(), LOCK_EX);

セッション情報を取得する際は、
session_decode(file_get_contents(上記で生成したファイルのフルパス));
で、セッションに展開されます。

しかし、セキュリティ上、同じセッションIDを持ちまわるのも問題があります。
可能であれば、サーバーにPOTSされてセッション情報を読み込んだ後、session_regenerate_id(true)などでセッションIDを変更するのがベターと思います。

投稿

  • 回答の評価を上げる

    以下のような回答は評価を上げましょう

    • 正しい回答
    • わかりやすい回答
    • ためになる回答

    評価が高い回答ほどページの上位に表示されます。

  • 回答の評価を下げる

    下記のような回答は推奨されていません。

    • 間違っている回答
    • 質問の回答になっていない投稿
    • スパムや攻撃的な表現を用いた投稿

    評価を下げる際はその理由を明確に伝え、適切な回答に修正してもらいましょう。

  • 2016/05/17 20:21

    ご回答ありがとうございました。参考にさせていただきます！

    キャンセル

15分調べてもわからないことは、teratailで質問しよう！

  • ただいまの回答率 90.42%
  • 質問をまとめることで、思考を整理して素早く解決
  • テンプレート機能で、簡単に質問をまとめられる
質問する

関連した質問

同じタグがついた質問を見る

  • PHP

    21853questions

    PHPは、Webサイト構築に特化して開発されたプログラミング言語です。大きな特徴のひとつは、HTMLに直接プログラムを埋め込むことができるという点です。PHPを用いることで、HTMLを動的コンテンツとして出力できます。HTMLがそのままブラウザに表示されるのに対し、PHPプログラムはサーバ側で実行された結果がブラウザに表示されるため、PHPスクリプトは「サーバサイドスクリプト」と呼ばれています。

  • SSL

    540questions

    SSL(Secure Sockets Layer)とは、暗号化されたプロトコルで、インターネット上での通信セキュリティを提供しています。

SNSアカウントでログイン

  • Facebookでログイン
  • Twitterでログイン
  • Googleでログイン
  • Githubでログイン
  • Hatenaでログイン

teratailアカウントでログイン

思考するエンジニアのためのQ&Aサイト「teratail」について詳しく知る