[php] Hoe worden session variabelen overgeheveld?

[Arcane Apex]

Ik vroeg mij het volgende af m.b.t. beveiliging. GET variabelen worden overgeheveld via de url en zijn dus toegankelijk voor anderen. POST variabelen worden overgeheveld via de header en zijn dus ook te zien door anderen mits daar enige moeite voor gedaan wordt. COOKIES worden op de pc van de client gezet en zijn dus ook toegankelijk voor anderen.

Maar hoe zit dat met session variabelen? Is het verstandig een variabele op te slaan als session variable wanneer een externe partij geen toegang tot die variabele mag hebben?

[CodeCaster]

quote: http://nl3.php.net/manual/en/session.security.php

The session module cannot guarantee that the information you store in a session is only viewed by the user who created the session. You need to take additional measures to actively protect the integrity of the session, depending on the value associated with it.

De sessie-ID wordt op de client bijgehouden in een cookie, en iedereen die dit cookie kan onderscheppen kan dus de sessie hijacken.

[NMe]

Het spijt me, maar zoals CodeCaster al demonstreert had je hier zelf heel makkelijk uit kunnen komen met de manual, waar je vraag letterlijk in beantwoord staat. Het antwoord staat nota bene slechts twee kliks verwijderd van [google=php sessions]: klikken op de eerste hit en dan "sessions and security" aanklikken, het onderwerp dat je zocht.

Ik zou dus graag zien dat je een volgende keer wat meer moeite doet om zelf tot een oplossing te komen. Bij gebrek aan eigen inzet doe ik dit topic dicht.

[RobIII]

Even een kleine aanvulling: een sessievariabele (een waarde die je aan de sessie hangt) is in principe enkel en alleen server-side beschikbaar; los van session-hijacking (waarmee je enkel kunt doen of je een andere sessie bent/hebt) kun je dus nog steeds niet in die variabele "kijken" van buitenaf (los van brakke code uiteraard).