page1.php:Czy użytkownik może zmodyfikować sesję PHP?
<?php
session_start();
if ($_POST['password'] == "testpass")
$_SESSION['authenticated'] = true;
?>page2.php
<?php
session_start();
if (isset($_SESSION['authenticated']) && $_SESSION['authenticated'] == true) {
echo "Super secret stuff!";
}
?>Czy użytkownik może dostać się bez super bezpieczne hasło?
Nr dane w Zmienna $ _SESSION jest przechowywana na serwerze, niedostępna dla użytkownika.
Sesja jest połączona z użytkownikiem za pomocą pliku cookie. Plik cookie z identyfikatorem (tj. Długim losowym ciągiem znaków) jest wysyłany do użytkownika w celu identyfikacji użytkownika i połączenia go z jego sesją. Jeśli ktoś inny uzyska dostęp do tego pliku cookie, może użyć tego samego kodu, aby udawać, że jest użytkownikiem, i w ten sposób może uzyskać dostęp bez hasła.
Dzięki za potwierdzenie, że dostarczając więcej informacji :) – BronzeByte
pytanie brzmiało "Czy użytkownik może się dostać bez super bezpiecznego hasła?", A odpowiedź brzmi TAK. –
@PoelincaDorin - Myślę, że każdy, kto ma trochę soli w głowie, może zobaczyć, na czym polega problem i jaka jest właściwa odpowiedź. Twój nie jest. Ten jest. –
Sesja może zostać zmodyfikowany wyłącznie z kodu PHP, to w przeciwieństwie do $_POST, $_GET, $_COOKIE etc
Tak na marginesie myślę, że można użyć empty() uprościć Warunkowo:
<?php
session_start();
if (!empty($_SESSION['authenticated']) {
echo "Super secret stuff!";
}
?>
To był tylko wzorzec;) – BronzeByte
sesji może być modyfikowany na różne okazje .. Zobacz to ->Session Poisoning
+50! zaskoczony brak głosowania .. jakieś zaktualizowane informacje? Czy możesz zarejestrować odpowiedź QA? – wpcoder
Użytkownik nie może modyfikować sesje PHP na serwerze. Mogą jedynie wymyślić legalne ciasteczko i maskować się jako zalogowany użytkownik, ale to będzie wymagało od nich kradzieży ważnego pliku cookie. – AbdullahC
Nie musisz sprawdzać swojej zmiennej względem wartości true w teście, ale porównując wartości binarne, lepiej jest użyć identycznego porównania. $ test === true. Staraj się być surowym, gdy tylko jest to możliwe. – MetalFrog
@MetalFrog Wiem, ale jeśli to nie było uwierzytelnienie (tylko benchmark w tym przypadku) użyłbym ==, ponieważ mogę również podać "true" lub 1 lub "1" – BronzeByte