$_COOKIEや$_SESSIONに$_POSTを直接投げても良いのでしょうか？

Question

申し込みフォームの内容をcookieまたはsessionに保存したいのですが、その際に$_POSTデータ丸ごとを$_COOKIEや$_SESSIONに直接入れるのは問題ないでしょうか？
あまり見かけないので少々不安になりましてご質問させて頂きました。

$_COOKIE = $_POST;

$_SESSION = $_POST;

参考のサイトなど拝見しますと、

$_COOKIE["name"] = $_POST["name"] ;

$_SESSION["name"]  = $_POST["name"] ;

といった感じでキーまできちんとセットしてあるのですが、送信情報が多かった場合などは大変かなと思ってしまいます。

$_SESSION = $_POST;　のような指定は問題ございませんでしょうか？
いずれの方法も、ページをまたいでもそれぞれの変数内にデータは存在しているのですが、この方法では情報は残っていても、session、cookieという意味は果たしていないのでしょうか？（※setcookieをしなくとも、$_COOKIEにはデータがありますが、cookieとしては確認できない？）

宜しくお願いいたします。

Answer 1

送信情報が多かった場合などは大変かなと思ってしまいます。

$_SESSION = $_POST;みたいにそのまま投入するのは論外として、識別可能なキーをつければ良いのでは。

$_SESSION["post"] = $_POST ;

var_dump($_SESSION);
var_dump($_SESSION["post"] );
var_dump($_SESSION["post"]["name"] );

postというキーでも不十分な気はしますが。

Comments

[yukina00235]

有難うございます、大変参考になりました！

Answer 2

$_POSTには、攻撃者の手にかかればどんな値でも送れます。

どんなキーが含まれるかすら保証の限りではない以上、$_POSTをまるごと扱うなどという乱暴なことをしてはいけません。

Comments

[maisumakun]

そして、$_COOKIEはそのままHTTPのヘッダに付与されるものです。容量制限も厳しいものですので、（JavaScriptでも抽出したいなどの特殊事情がある場合を除いて）生の値を入れるべきものではそもそもありません。

[yukina00235]

有難うございます、$_COOKIEの場合には容量の問題が確かに御座います。
必要なものそれぞれに設定を行いたいと思います。大変参考になりました！

Answer 3

問題ないと思います。ただセッションに認証情報など持たせていた場合に上書きされてしまうので気をつけたほうが良いと思います。

Comments

[yukina00235]

有難うございます、唯一問題無いとのことで、こちらも大変参考になりました！

Answer 4

$_SESSION["name"] = $_POST["name"] ;

postでnameが送られてこないと初期化されてしまうので、普通はこんな乱暴な書き方はしません。
ましてや「$_SESSION = $_POST」はちょっと考えられません

Comments

[yukina00235]

有難うございます、大変参考になりました！