回答編集履歴
3
修正
answer
CHANGED
|
@@ -4,9 +4,14 @@
|
|
|
4
4
|
何かしらアドバイスがついたとして「それが適切か」という判断はできるんでしょうか。
|
|
5
5
|
おそらく前にも言われたと思います。「回答者するくらいの人が言ってるから正しいんだ」
|
|
6
6
|
それって本当にそう言い切れますか？
|
|
7
|
+
ネットに転がっている情報を鵜呑みにしてはいけないのは分かりますよね。
|
|
8
|
+
それと同じです。結局のところ自身で検証・調査する必要が出てくるわけです。
|
|
9
|
+
手元に環境と目の前にコードがあるのだからまず試そう（teratailの指針ですね）
|
|
10
|
+
|
|
7
11
|
あなたがいずれ仕事で後輩や部下を持つようになったとして、どう説明しますか？
|
|
8
12
|
「理解する」ということは「人に説明できる」ということです。（確実な経験と根拠資料に基づいて）
|
|
9
13
|
そのあたり、自身のこれまでを振り返ってみてください。
|
|
14
|
+
すると今回の質問が「問題・課題がない」という非推奨の質問に限りなく近いことが分かるはずです。
|
|
10
15
|
|
|
11
16
|
-------------
|
|
12
17
|
|
2
修正
answer
CHANGED
|
@@ -1,3 +1,15 @@
|
|
|
1
|
+
正直、
|
|
2
|
+
**実際に色んなところに入れて挙動（セッションファイル含めた）を確かめてから質問してね**
|
|
3
|
+
って見た人は思うと思います。
|
|
4
|
+
何かしらアドバイスがついたとして「それが適切か」という判断はできるんでしょうか。
|
|
5
|
+
おそらく前にも言われたと思います。「回答者するくらいの人が言ってるから正しいんだ」
|
|
6
|
+
それって本当にそう言い切れますか？
|
|
7
|
+
あなたがいずれ仕事で後輩や部下を持つようになったとして、どう説明しますか？
|
|
8
|
+
「理解する」ということは「人に説明できる」ということです。（確実な経験と根拠資料に基づいて）
|
|
9
|
+
そのあたり、自身のこれまでを振り返ってみてください。
|
|
10
|
+
|
|
11
|
+
-------------
|
|
12
|
+
|
|
1
13
|
そもそもセッションハイジャックにどんなセキュリティ脅威があるのかどんな攻撃手法があるのかを
|
|
2
14
|
理解する必要があります。
|
|
3
15
|
|
1
修正
answer
CHANGED
|
@@ -6,15 +6,21 @@
|
|
|
6
6
|
|
|
7
7
|
session_regenerate_id()はあくまでその対策手段の1つにすぎません。
|
|
8
8
|
上記記事でいえば「セッションハイジャックされないための対策」の「ワンタイムセッションIDの発行」のみの対応。
|
|
9
|
-
「これだけやっとけば完璧！」と
|
|
9
|
+
「これだけやっとけば完璧！」とは言えません。
|
|
10
|
+
「セッションハイジャック」ですからね。
|
|
10
11
|
|
|
11
12
|
> 記事より引用：
|
|
12
13
|
セッションIDをワンタイム化してしまい、攻撃されにくくする手段です。ワンタイム化すると**アクセスするたびにセッションIDが変更される**ので、特定は非常に難しいと言えます。
|
|
13
14
|
php環境下ならば「session_regenerate_id関数」を利用することで簡単に行えます。
|
|
14
15
|
|
|
16
|
+
「特定が難しい」だけです。
|
|
17
|
+
|
|
15
18
|
さて[session_regenerate_id()](https://www.php.net/manual/ja/function.session-regenerate-id.php)についてはマニュアルを読まれたら分かるかと思います。注意書きがありますね。
|
|
16
19
|
特に「警告」のところはきちんと読んでおいてください。
|
|
20
|
+
また、「実行したときにセッションファイルがどうなっているか」もきちんと追っておくこと。これを知っておく必要はあります。
|
|
17
21
|
|
|
22
|
+
引数をデフォルトのfalseのままにしておくとどうなるか想像してみてください。
|
|
23
|
+
|
|
18
24
|
あとは、下記のような記事を参考にすると自ずと見えてくるのではないでしょうか。
|
|
19
25
|
- [[PHP] リクエストパラメータ・セッションに関するまとめ](https://qiita.com/mpyw/items/7852213f478e8c5a2802)
|
|
20
26
|
- [ぼくのかんがえたさいきょうのsession_start](https://qiita.com/mpyw/items/7f4772e4d4d360fc100c)
|