セッション変数の取り出し

Question

前提

phpによるウェブサービスを作成しています。

1. index.php
2. update.php
3. login.php

というファイルがあり、
いずれもSSL認証されています。

login.phpで、$_SESSION['username']という名前で、セッション変数を保存しています。

困ったこと

テスト環境でSSL認証無しで作成していた際は、
login.phpで保存したセッション変数を、index.php, update.phpで取り出すことができていました。
ところが、SSL認証をするとindex.phpでは取り出せたのですが、
update.phpからは取り出すことができなくなってしまいました。

色々と調べてみましたが、同じような問題は見つけることができず、
原因も見当がつきません。

必要であれば、気になる部分のコードを記載しますので、
ご意見いただけないでしょうか。
漠然とした質問で申し訳ありませんが、よろしくお願いいたします。

Answer 1

本当に質問通りの環境であれば，信じがたい内容ですね…
確認すべきと言えることは

• 各ファイルの先頭ですべてsession_startを行っているか
• 本当にすべてのアクセスでスキームが https:// に統一されているか

→ もし統一されていない場合，セッション用Cookieのsecure属性は有効になっていないか

これぐらいしか思いつきません…差し支えなければソースを提示してください．

Comments

[mpyw]

(再掲) おすすめの実装
http://qiita.com/mpyw/items/7f4772e4d4d360fc100c

[callmichael]

まさにsession_startを行っていないせいでした。。
SSLにしてからそうなったのでしょうか。
とにかくありがとうございます。
また、ここで質問するのは間違っているかもしれませんが、
教えていただいたセッション認証のコードを使って、
androidアプリからアクセスできるようにしたいと思っています。
アプリからセッション認証をそのまま使うことができるのかあまり分かっておらず、
可能か不可能かだけでもお分かりであれば教えていただきたいです。
何度もすみません。よろしくお願いいたします。

[mpyw]

できますが，Androidアプリ側でCookieを常に保持するようにしてください．
(Androidのほうは疎いので具体的な指示は出せませんが，永続的なデータストレージにPHPSESSIDを入れておく必要があるかと思います)

なお，スマホアプリの場合はきわめて保持しておく期間が長い（もちろん再アクセスでの延長あり）ので，TLS暗号化があったとしても定期的にセッションIDの書き換えを行ったほうがいい気がします．

非常に大雑把ですが個人的には

super_session_start(86400 * 30, 86400 * 3, true, [
    'cookie_secure' => true,
    'cookie_httponly' => true,
]);

このぐらいが妥当かなぁと．

[mpyw]

もちろんこうする場合Android側では，Cookieの変更を検知して，データストレージに上書きする必要がありますが．

[callmichael]

すみません、御返事遅くなりました。
どうやら、Androidで同じような仕組みを使えそうなので、いま悪戦苦闘しつつも実装を試みています。ありがとうございます。

Answer 2

全てのファイルへのアクセスをhttpsにすれば問題なくなると思われます。

原理は過去の質問
https://teratail.com/questions/16772
を読んでみてください。