解決したの？

セッションを使うと必ずサーバー上の/tmpにファイルが作られブラウザを閉じるとファイルが残ってしまうのだけど
これを残さないようにすることってできるのかな？

>>306
セッションファイルはちゃんとガーベージコレクトされる筈だが。
ガーベージコレクトのタイミングやゴミとみなされるまでの時間を見直したら？

>>306
セッションハンドラをいじればDBにだって保存できるぞ。

>>309
何が無意味でどう恐ろしいの？
俺も似たようなことやってるので教えて欲しい。

>>310
まんま続けてろ。
探してそのうち遊びに行ってやるw

>>こういう人って知ってて教えてやらないの？
それとも知ったかぶりしてるの？

ごめ。>>311ね。

session.use_trans_sidがOnの状態にしてるのと変わんないよ＞hidden
そりゃcookieでSIDを持たせた方が、安全性は高まるけど
そうではなくGETとか選択してるのは、理由があってやってるんだろ？

セッション管理ってよくわからないんですけど
要するにパスワードかなんかでふるいにかけても
URLで「login=ok」みたいに渡しちゃってたら誰でも入れてこれは困ったな
見たいになるのを防ぐものなんですか？

>>316
＞「login=ok」みたいに渡しちゃって
ということを普通は最初からしないので、何とも。
セッションはその名のとおり、C/S間のやり取りが
継続しているということを実現するための仕組み。

かといって特に新しいことも、物凄く高度なことでもなく
かつてPHPの標準のセッション機能が無い頃は、各々が
ごく当たり前に独自にセッション機能を作ってやってたもんだよ。
(PHPlibとかあったけど)
だから今でも、何も難しく考えることはない。ただあるものを使えばいい。

クッキーなんで偽造出来るんだけどね。
セッション乗っ取れば認証回避出来るよ。

セッション生成場所にF5アタックされたら
めちゃくちゃセッション作ってくれるとおもうんだけど
貴殿らどういう対策してる？

>>320
セッション生成場所に限らずF5アタックは嫌なので
httpdより前にブロックしてる。

>>320
F5アタックなら全部同じセッションになるんでないの？

>>321
ううむ、やっぱそのレベルで防がないとだめかー
スクリプトレベルで防ぐのはあんまり賢くないかな
たとえば何件いったら新規セッションを一時発行しなくするとかね

>>322
クッキー拒否だと新規セッションにならない？

クッキー切ってる香具師にはセッションを発行しなきゃいい

>>325
ルータじゃないの

企業ではセキュリティ上クッキー食べなくさせてる所も多いので、そう言う客も失う覚悟だな。
httpd自身(libwrappr)とか鯖のIP処理レベルとか、本命のファイヤーウォールとか。
ちなみにルータで処理させるとルータの負荷が騰がって、他の通信にも影響が出るから辞めるべき。

mod_php弄って特定IPからのアクセスにRSTパケット返しちゃうってのも、F5連打廚にはいいカモな。

>>325
自分が使ってるのはiptablesだから、そこの中で。
つかhttpだけじゃなくて、sshやftpへのブルートフォースアタックがかなり多いので、
それらもまとめて弾いてる。Apacheでやるなら、mod_dosevasiveみたいなまんまの奴や
帯域を絞るモジュールなど色々あるよ。

phpで対処するってのは、自分で手を出せるところの範囲が狭くて
どうしようもない時の残された方法かと。F5アタックならphpでなくても
負荷のかかるコンテンツならどこを狙っても良いわけだし。
レンタルサーバなら、収容している他のユーザが対処してないなら意味無いしね。

セッションをDBに保管する方法は幾つかあるかと思いますが
皆さんのところは何を使ってますか？
とりあえずうちは「session_pgsql」を使ってますが他になにかいいのないですかねぇ。

自作ハンドラなのらー

全くのスクラッチと言うかオリジナル？
何からパクりましたか？

Cookie必須にできないのでhiddenで引き回してるんだけど、
IPとブラウザのUA（吐かない場合あり）チェックだけだと
例えば社内LANとかでのハイジャックの危険性は残ったままだよね？
何かいい方法ないですか？

>>332
普通にIPが変わることもあるよ

http://labs.cybozu.co.jp/cbl_rememberme/

>>338
シネバイイトオモウヨ

>>338
ﾂｰﾎｰしときますね

DoCoMoの社員になってDoCoMo鯖からソケット使ってセッション取るとか(w
まぁ昔のRanklink改造した奴なんか簡単にセッションハイジャック出来たが、
セッション管理をファイルでやっててそのファイルがあるディレクトリに穴でもない限りは無理やね。

いまさらだけど、ＰＨＰとセッションは関係ないじゃん。
関数の話がしたいならＰＨＰスレじゃね？

君は何を言ってるんだね。

うわ。。
10日以上前の書き込みにレスしちまった。。

ヤケクソage

君は何を言ってるんだね。

１０日くらい間空けろよ。







なんか期待しちまうじゃないかorz

でも力任せでセッションID生成して送りつければいつかは突破できそうだけどな。
そのまえに鯖が異常に重くなってあぼんするだろうけど(w

次のｽﾚﾀｲはこうだね。
PHPじゃないとセッションつかえないと思ってる香具師の数→

ちょっと質問ですが、WebアプリでセッションにクライアントIPアドレス
を入れるという実装って普通しますか?

IPアドレスなんて変わることが多いからそんなことしないかと思っていたの
ですが

結論としてはやめておいた方が良い。
再利用しているところが多いし、同じIPアドレスを使ってるPCだって結構ある。