セッションIDによるセキュリティ

Question

携帯アプリを作っていまして、セキュリティとしてセッションIDを追加したいと思っています。

実装としては

ログイン成功時（セッションIDを作成）
↓
データベース等との操作時はセッションIDを毎回確認

とゆう感じです。

質問はスクリプトの書き方です

function Login(){
//もしログインに成功したら
if(...){ session_start();}
}

function scan(){
//セッションIDを使ってユーザー確認
};


scan();//scanは毎回呼ばれる。

function()...

function()...

//以降、DB関連の関数はscan後に実行

やりたいことはこんな感じでして、ログイン認証はセッションとは別にデータベースで照合します。

質問
scan()内にどのような実装をすればいいのか解りません

Answer 1

セキュリティとしてセッションIDを追加したい

微妙な表現ですね
セッションIDをつかっても必ずしもセキュリティは高まりません
セキュアなログインをした後に、ログイン状態を簡単に引き継ぐのがセッションです。
ただセッションを利用してもセッションハイジャック的な処理もあるので
セキュリティが高いとまではいいきれません。
Basic認証のように毎回ユーザーIDとパスワードを平文でながすよりはマシですが

Answer 2

function Login(){
//もしログインに成功したら
  if(...){
     session_start();
     $_SESSION['user_id'] = $user_id;
  }
}

function scan(){
//セッションIDを使ってユーザー確認
  echo 'ログイン中のユーザーIDは'.$_SESSION['user_id'].'です';
}

補足としてこちらもどうぞ
Cookieとセッションをちゃんと理解する

Comments

[seri]

回答ありがとうございます。
つまり、後半の関数を実行するには、Login時にUserIdを送っておいて、以降のリクエストでは、Login時に登録しておいたidを送りセッションID内のUserIdと比較するとゆう事でしょうか？

[yuki84web]

ログインされているかどうかのチェックをしたいのですかね。であれば、送信されたIDがDBに存在する事が判明した（ログイン成功した）時に$_SESSION['is_logged'] = TURE;とかにしておいて、都度チェックしたいところでif(isset($_SESSION['is_logged'])){//ログイン済み}みたいな感じで良いと思います。