セキュリティの高い会員登録方法について

質問

会員登録をどういう実装にしたら良いのか悩んでいます。
セキュリティの鉄則で、ログイン前にセッションIDは発行しないというのを見かけました。
そこで２点質問です。

１．会員登録にセッションを使用しても大丈夫でしょうか？
２．会員登録は不正なメールアドレス入力を避ける為、
一度仮登録メールを送るべきでしょうか？

試行錯誤した結果、以下パターンのいずれかにしようと思いますが、PCサイトで一般的なパターンとしてどちらが望ましいでしょうか？

■パターン１
1.会員登録(フォーム情報はセッションに保存する）
○メリット：ブラウザの戻るを行っても入力状態が残っている
2.会員登録確認メール（キーとなる引数をセット）
3.メールのURLをクリックすると会員登録完了セッションを再生成？し会員状態となる。

■パターン２
1.会員登録(フォーム情報はHIDDENで持ちまわる)
×デメリット：ブラウザの戻るで入力状態が消える場合がある。
○メリット：ログイン前にセッションIDを再生成しなくて済む
2.会員登録確認メール（キーとなる引数をセット）
3.メールのURLをクリックすると会員登録完了セッションを生成し会員状態となる。

回答No.1

galluda · ベストアンサー

がると申します。

セッションについては「ログインを伴わない一時的セッション」と「ログインを伴うセッション」を明確に区別しておけば問題はないかと。
ただ、PHPのセッション関数は個人的には実装が非セキュアであると思っておりますが(なので私は別途、実装をしています)。

メールについては「一度仮登録メールを送る」ことで不正なメールアドレス入力はある程度避けられるかと思います。
ただ、そうすると次は「それを用いてメールボムその他」のアタックが考えられますので、そのあたりについては考察をしておいて損がないかと思います。

お礼

一時的なセッションとわければ良いのですね。
ありがとうございます。
そうですね・・たしかにPHPのセッションは問題があると良く聞きます・・IDの通り数も少ないですし。

メールボム怖いですね・・
とりあえず、たいした情報は扱わないサイトなので、
運用しながら試行錯誤してみます。