- ベストアンサー
Cookieとセッションについて
突然疑問に思ったのですが、Cookieを使うと盗聴される可能性があり、 その場合他人になりすましされることがあるとよく聞きます。 セッション変数の場合はどうなんでしょうか？ また、どちらが優れているのでしょうか？
- taka20
- お礼率59% (25/42)
- その他（ITシステム運用・管理）
- 回答数1
- ありがとう数1
- みんなの回答 （1）
- 専門家の回答
質問者が選んだベストアンサー
＞セッション変数の場合はどうなんでしょうか？ クッキーはサーバから配布された情報をブラウザ側が保持し、ブラウザからサーバに送信するものです。 対して、セションはサーバ側が内部で保持している情報です。 クッキーの情報は改ざん・偽装ができますが、セションはサーバ側が書き換えるものなので、基本的にブラウザからセションの情報を意図的に取得することも書き換えることもできません。 ＞また、どちらが優れているのでしょうか？ どちらにもメリット・デメリットがあるのでどちらが優れているとは言えないものです。 セションはサーバ側で保持するため、セキュリティなどには強いですが、サーバのメモリを使用するため、アクセスが多く保持する情報が多いようなシステムには向いていません。 Cookieはサーバ側に負荷がかからないという利点はありますが、セキュリティや保持する情報量などに問題があります。また、ブラウザ側でCookieを拒否できるという点もあります。 結局はシステムの要求や仕様などに合わせて使い分けることが必要です。
関連するQ&A
- phpのsessionとcookieについて
質問は以下に２つです。 プログラムの説明は、pass,idから認証を行い、sessionidを発行します。二度目の以降はsessioidから認証します。 sidpost.phpからpostでIDとパスワードを入力させます。 データベースはid, pass, sidの３つのカラムがあります。 <?PHP require_once'DB.php'; session_name("sid"); session_start(); ?> <html> <head> <meta http-equiv="Content-Type" content="text/html; charset=utf-8" /> </head> <body> <?php $id = $_POST['id']; $pass =$_POST['pass']; $cookie = $_COOKIE['sid']; $sid = session_id(); //データベース参照 //プレースホルダーを使用 //id からpassを参照する //cookie から sidを参照する $data=$sth->fetchRow(DB_FETCHMODE_ASSOC);//参照したデータを$dataの連想配列に格納 //sid保存のプレースホルダー $sth2 = $dbh->prepare('UPDATE accountid SET sid=? WHERE id=? AND pass=?'); //cookieが保存されていない場合 if(!isset($cookie) && isset($pass) && isset($id)){ //idとpassから認証 if($pass === $data['pass']){ $sth2 = $dbh->execute($sth2, array($sid, $id, $pass)); echo "初めてのログインsid登録"; } //sidがある場合cookieとデータベースのsidを比較 }else if(isset($cookie)){ if($cookie == $data['sid']) echo "sidあり成功"; //クッキーがあり、データベースと一致しない場合，sidを破棄する }else{ echo"あるはずのクッキー" .$COOKIE['sid']."<br>"; $_SESSION=array(); setcookie('sid', '', time()-3600); session_destroy(); echo "ないはずのクックキー".$_COOKIE['sid']; } //それ以外は入力フォームにリダイレクト }else{ header("location: ./sidpost.php?error=error"); } $dbh->disconnect(); ?> </body> </html> 上のようなセッション管理のプログラムを書きました。 質問は２つありまして、 ・１つめは、通常セッション管理を行う際の、条件はどのようにするのが一般的ですか？ ＩＤとパスワードがデータベースと一致する場合としない場合の２通り、cookieがある場合、ない場合の２通り、もしcookieがある場合は、データベースの値と一致する場合としない場合の２通りが考えられます。一番最適な条件文はどのようにすればよいでしょうか？ またその処理はどのようにすればよいのでしょうか。 例えばcookieがあり、データベースと一致しない場合、$_SESSIONの初期化、setcookieでクッキーの削除、session_destroy()するなど。。。なにかよくわからなくなってしまいました。 ・二つ目は、 上のプログラムではじめsession_name('sid')およびsession_start()を宣言し、クライアントとサーバに$sid=session_idを発行しています。なので、$_COOKIE['sid'];の値には session_id()($sid)になっているはずです。 下のほうで、セッションの管理を行う際、 //クッキーがある場合 else if(isset($cookie)){ if($cookie == $data['sid']) echo "sidあり成功"; //クッキーがあり、データベースと一致しない場合，sidを破棄する }else{ echo"あるはずのクッキー" .$COOKIE['sid']."<br>"; $_SESSION=array(); setcookie('sid', '', time()-3600); session_destroy(); echo "ないはずのクックキー".$_COOKIE['sid']; } クッキーがあり、データベースと一致しない場合に、sessionおよび、cookieの破棄をしています。この前後でechoをもちいて$_COOKIE['sid']の値を出力すると、 破棄するの前のechoでクッキーが表示されず、 破棄したあとのechoでクッキーが表示されました。 なぜこのような結果になるのですか、逆では？と思いました。
- 締切済み
- PHP
- COOKIEを用いたセッション管理
PHPでCOOKIEを用いたセッションチェックをしようとしています。 トップページを表示する関数とセッション管理の関数に分けて処理をしています。 function index(){ session_start(); if($this->CheckSession()) ログインのページ else ログオフのページ } function CheckSession(){ if(!$_COOKIE["hoge"]) DBにセッションID(COOKIE["hoge"]の値)を入れる setcookie("hoge",session_id()); return false; else return true; } このとき更新ボタンを押すたびにCOOKIEの値が変わります。 なぜでしょうか？
- ベストアンサー
- PHP
- phpのセッションについて質問です
phpで会員制サイトの制作を勉強中です。 pdoでmysqlデータベースに接続しています。 セッションの「session_set_cookie_params」について質問ですが、 session_set_cookie_paramsで有効期限を設定する場合、 ログイン時にsession_set_cookie_paramsでセッションの有効期限を設定し、 他のページではsession_start()さえ記述すれば、 有効期限を過ぎると勝手にセッション変数のデータを空にしてくれるのでしょうか？ それとも全てのページにsession_set_cookie_paramsを書かなければならないのでしょうか？ プログラムを書いている上でセッションの動作がおかしい(有効期限が過ぎてもログアウトしない)のでsession_set_cookie_paramsの記述がおかしいのかと思い、質問しました。 また、セッション変数の有効期限を変数毎に個別に設定して削除する方法はないのでしょうか？ ご回答、よろしくお願いします。
- ベストアンサー
- PHP
- cookie とセッションの設定について
(1) cookie とは java script を使った技術なの？逆に java script を使わない cookie はありますか？ (2) ウェブページのログインが切れるセッションの設定は java script で書かれてあるの？
- ベストアンサー
- Java
- COOKIEを用いたセッション管理について
input.phpでsetcookieを使ってcokkieを設定します。 有効期限は1時間です。 check.php→thanks.phpという流れで登録を行い、thanks.phpでcookieを破棄します。 リロードを行ったときにCOOKIEがないのでエラー処理が行われます。 check.phpに直接アクセスしたときもcookieがない場合はエラー処理を行います。 ここまではいいのですが、input.phpにアクセスしたときにthanks.phpで破棄したcookieがまだ生きているのです。 ここで新たにcookieを発行して新しいsessionを開始したいのですが、うまくいきません。 どのようにしたらいいのでしょうか？ 1時間たたないうちにユーザが登録をしようとするとcookieの情報を元に更新されてしまいます。
- ベストアンサー
- PHP
- sessionとcookieの設定内容の区別
セッションとクッキーの使い分け方法を教えていただけないでしょうか? 簡単に言えばセッションがサーバサイド、クッキーがクライアントサイド、 セッション内容はブラウザ切れば消える（残すことも出来る）、クッキーはブラウザに残る、 と言うことは分かっているのですが、実装の仕方が分かりません。 例えばログインフォームでは$_SESSION['name']、$_SESSION['password']を回す・・・というのは分かります。 認証が終われば$_SESSION['name']、$_SESSION['password']は破棄して$_SESSION['login']=TRUE等を使うのではないかと思っております。 (そうではなくて、認証後は全て$_COOKIEで処理するのでしょうか？) で、$_COOKIEにはsessionIDが入っていると。 しかしながら、ブラウザ切っても暫くしてまたサイトを訪れたときにログイン状態が続くようにするにはどのようにすればいいのでしょうか？ $_COOKIEにその情報を格納するのだと思うのですが、例えば$_COOKIE内にユーザidやlogin=OKのような文字を入れているとブラウザから見えてしまいます。 勿論ハッシュ化をして簡単には把握できないでしょうが、ここにはどんな情報が格納されているのか見当も付きません。 具体的な$_SESSION、$_COOKIEに入れるものと、サイトでの各々の実装法を教えていただけないでしょうか?
- ベストアンサー
- PHP
- Cookieを利用したログインについて
http://tenderfeel.xsrv.jp/php/628/ に、Cookieを利用したサンプルが掲載されているのですが、 このサンプルでは、セッションIDを発行せずに、セッション管理をすべてCookieで行なっている、のでしょうか？ また、処理としては、サーバー側にはデータを何も保持せずに、 アクセスする度にブラウザから、(ハッシュ化したパスワードを含む)Cookie情報を送信して、 その一致を確認している、ということになるのでしょうか？ セキュリティ的には、問題とかないのでしょうか？ 次に、セッション版についてですが、 セッションIDは、スクリプトのどの部分で発行しているのでしょうか？ また、処理としては、セッションIDはブラウザに、 それ以外のセッション変数は、サーバ側のセッション(？)に保存、 ということになるのでしょうか？
- ベストアンサー
- PHP
- 「常にセッション Cookie を許可する」は、安全か？
「ツール」「インターネットオプション」「プライバシー」「詳細設定」 「プライバー設定の詳細」「自動Cookie処理を上書きする」チェックし、「常にセッション Cookie を許可する」チェック「OK」で閉じてIE再起動。に、したら良いとある人からアドバイスを貰いましたが、「常にセッション Cookie を許可する」と、しても安全性は大丈夫なのでしょうか？ アドバイス、回答お待ちしています。
- 締切済み
- ネットワーク
- セッションについて
セッションの管理について疑問があって質問させていただきます。 PHPの単一サーバでのセッション管理であれば、$_SESSIONを利用すれば良いと理解しています。 例えば複数のサーバで運用する場合はクッキーを利用するという方向で良いでしょうか？$_SESSIONだとセッションの引き渡しはできないですよね。(？) ただし、お金があってロードバランサーを使った場合はできると理解しています。 複数のサーバで運用する場合、会員登録の機能ではDBと連携して 入力画面でクッキーを発行 setcookie("regist","hogehoge","有効期限を設定"); 確認画面 Cookieの値をDBと通信して確認 登録完了の画面で Cookieの値をDBと通信して確認 会員登録がうまくいっていれば setcookie("regist","","有効期限を巻き戻し"); として重複登録を防ぐ。 こんな感じで良いでしょうか。 間違い、誤解があれば教えてください よろしくお願いします。
- ベストアンサー
- PHP
- ＰＨＰ SESSION変数の削除について
ＰＨＰでブラウザを×で閉じた場合、ＳＥＳＳＩＯＮ変数 の廃棄はどうすればよいのでしょうか？ ガーペジコレクション（PHP.INI等の設定）に任せておけばよいのでしょうか？ ちなみにログアウトの際は下記のプロシジャを実行しています。 －－－－－－－－－－－－－－－－－－－－－－－－－－－－－ <?php session_start(); // セッション変数を全て解除する $_SESSION = array(); // セッションを切断するにはセッションクッキーも削除する。 // Note: セッション情報だけでなくセッションを破壊する。 if (isset($_COOKIE[session_name()])) { setcookie(session_name(), '', time()-42000, '/'); } // 最終的に、セッションを破壊する session_destroy(); ?> －－－－－－－－－－－－－－－－－－－－－－－－－－－－－
- 締切済み
- PHP
お礼
ていねいなご回答ありがとうございます。 簡潔にまとめられており、とても理解しやすかったです。 Bonjin様の回答をもとに改めて考えさせていただきますね。 また機会があればよろしくお願い致します。 ありがとうございました。