سوال: چطوری امنیت session ها رو تامین کنم؟

[moontoise]

سلام...
ببخشید من برای شناختن کاربر ها تو اسکریپتم از session استفاده کردم و تا چند وقت پیش هیچ مشکلی نداشتم...
اما من از اون وقتی که browser های tab دار رو که نصب کردم واسه session هام مشکل پیش اومد...
یعنی امنیتش به کل از دست رفت...
مثلا من تو فایل index.php برای شناختن کاربر از session استفاده کردم:
مثلا:

برای مشاهده محتوا ، لطفا وارد شوید یا ثبت نام کنید
بعد وقطی در یکی از tab های browser هستم مشکلی نیست، اما اگه یه فایل مثلا به نام set.php می سازم و توی اون این کد رو می نویسم:

برای مشاهده محتوا ، لطفا وارد شوید یا ثبت نام کنید
اونوقت session نغییر می کنه...
این یه مشکل اساسی تو اسکریپت من بوجود آورده...
مثلا اگه کسی یه فایل مثل set.php رو بسازه و تو یکی از tab ها اجرا کنه، اونوقت می تونه راحت session ها رو تغییر بده...
من می خوام فقط از سایت من بشه session رو تغییر داد یا اسلا نشه تغییر داد...
اصلا راه دیگه ای برای شناساندن user هست که نشه اون رو تو broswer های tab دار تغییر داد؟
من یه ذره با کد define کار کردم، اما زیاد بلد نیستم...
می خوام ببینم کسی هست که اینو یادم بده یا اصلا این کد به درد همچین کاری می خوره یا نه؟؟؟

می دونم سوالم طولانی بود: ببخشید:10::40:

[MAXXX]

نیازی به مرورگر تب دار نداره با همون معمولی ها هم میشه از طریق url سشن ها رو دستکاری کرد یه چیزی تو مایه ههایه این
index.php?sessionuser_id=3
بشین این کتاب رو بخون در مورد مقابله با session fixation در PHP بخون حدود 2مگ


برای مشاهده محتوا ، لطفا وارد شوید یا ثبت نام کنید
با سرچ session fixation یا session hijacking هم چیزایه زیادی پیدا میکنی