ライブラリ内でセッションに値を保持して使いまわすのはあり？

Question

oauth2を使ってapiを利用するラッパーライブラリを作成中です。

oauth2では認証ページからリダイレクトされるときに、stateがそのまま返却されるので
CSRF対策をしようと思ったのですが、どのようにさせるのがいいのか悩んでいます。

例えば

public function setState($state) {
    session_start();
    $_SESSION['mylibrariname_State'] = $state;
}

と認証ページに移動する前に、セッション変数に保存しておき

public function validState()
{
    if(isset($_GET['state'] && $_GET['state']===$_SESSION['mylibrariname_State']) {
        return true;
    } 

    return false;
}

と、ライブラリ内でセッション変数を設定したり参照したりするのは
ライブラリの作りとしていいものなのでしょうか？
（この例では、GETのパラメータもライブラリ内で取得していますが…これもありなのかな？）

セッション変数を使わずに、ライブラリ内でCSRF対策を行う方法が思い浮かばなかったのですが、セッション変数はライブラリ外からも参照できるので、やっていいものなのか迷っています。
何かご意見がありましたら、よろしくおねがいします。

Answer 1

スーパーグローバル変数を直接操作するのは、フレームワークと密接したライブラリで無い限りはやめておいた方が無難だと思います。OAuth2にフレームワークとの関連性がそこまであるとも思えません。そもそも、CSRF対策自体はOAuth2とは全く別のレイヤーなので、このライブラリを使ってやることでは無いと思います。

既存ライブラリの実装などが参考になるかもしれません。
PHP-OAuth2

Comments

[退会済みユーザー]

やはり、ライブラリ内での操作はやめといたほうが良さそうみたいですね。
CSRF対策は、利用側ですることにしてライブラリ内では行わないようにすることにしました。

参考ソースもありがとうございました。