保土ヶ谷区民ウゼェよ。
ID出さない奴に回答して悪いかボケ

ID非表示派のレスには。←が付いてるのは偶然の一致なのか？
おもしれぇなこのスレｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗ

おまいら何回同じ議論したら気が済むの？
ローカルルール決めたって拘束力無いんだから意味無いじゃん

621以後の全部荒らしですから。
なんでスルーできないんですか？

質問が来ないから、皆、暇なんだよ。

>>655

(´・∀・｀)ﾍｰ

質問が来ないで暇になると、スレが荒れるんですか？

なんか、このスレの住民の方々って、痛いんですね。

けど、質問への答えなんか見ていると、みんな優しいですよね。

>>656
質問ならIDを出すように。

>>655から　この　>>658までを
自演荒らしと言います。触れないように。

(・д・)ﾁｯ 自演かよ

http://itpro.nikkeibp.co.jp/article/NEWS/20110207/356986/

誰得
クソ簡単なJavaのSJC-Pのほうが評価されるだろうな（笑）

ログイン処理のある会員サイトを作っています
いろんな意見を聞きたいんですが、フォームでのトークン処理ってどうやってますか？
（長文です、すみません）

自分は入力～確認～登録（DB処理）というフォームの流れで、
確認画面に進んだ時にPOST値を全部セッション（$postParams）に入れて登録画面に持ち込んで
セッションから引き出した値をDB処理しています。

が、ワンタイムトークンが複数画面でのフォーム登録処理を出来なくなる原因と気付いて、
（※hiddenのトークンとセッションのトークンをDB処理直前で比較するロジックの場合。
　新しいウィンドウのトークンでセッションが上書きされるので）
ログイン時に作ったトークンを使い回すことにしました。
すると、問題が出てきました

フォームAで確認画面に進んだあと、別ウインドウで開いたフォームBを確認画面まで進ませると、
$postParamsの値がフォームBの内容で上書きされるので、フォームAを「登録」した時に
正しくない（Bの）パラメータで登録されてしまうんです。
当たり前ですよね、ワンタイムトークンだった時は、ここで実際の登録処理が行われる前に
「トークンエラー」として処理してたんだから。

どうしたら良いんでしょうか？
ワンタイムトークンに戻そうかと思ったけど、それだと複数フォームの平行処理が出来ないままです。
post値をセッション化せずhiddenに入れる方法を考えましたが、それもちょっと抵抗が…
（処理がかなり面倒なので）

トークン処理とフォームの値の引き回しどうやってるか、参考意見貰えると嬉しいです
よろしくお願いします

セッションcookieとトークンcookieを分ければいいだけじゃね？

>>662
ありがとうございます
それはワンタイムトークンにして、ということですか？

とりあえず画面遷移とセッションのリードライトの流れを書いてよ
UMLでもいいし落書きでもいい
何を問題としてるのかよーわからん

>>664
ありがとうございます
これでわかるでしょうか？
同時に複数のウィンドウでフォームを開いて、トークンチェックしつつ（csrf対策で）
それぞれのフォームから入力された正しい値を登録させたいのです。

急いで書いたので誤字とかあるかも知れないです
確認画面でのパラメータのセッションへの格納方法は、実際は
$_SESSION['postParam']=$_POST;　です

今思いついたんですが、トークンは固定トークンのままにして
セッションへのパラメータの格納方法を変えればいいんでしょうか？

１）入力画面でウインドウID（乱数）を用意する　<input type="hidden" name="winID" value="xxxxx" />
２）確認画面でウインドウIDをキーにして、セッションにパラメータを全部入れる
　　$_SESSION['postParam'][$_POST['winID']]=$_POST;
　　hiddenにはウインドウIDを保持する　<input type="hidden" name="winID" value="{$_POST['winID']}" />
３）if($_SESSION['token']==$_SESSION['postParam'][$_POST['winID']]['token']){//DB処理}

うーん、スレ汚しすみません。意見貰えると嬉しいです

なんだこれは壮絶な釣りだなｗｗｗｗｗｗｗｗｗｗｗ

やってる事はステートフルなフローだからワンタイムの方は正常でしょ
金融系の処理なんかを見ればわかるけどそう言うケースではエラー出してセッションクリア後、最初からやり直させる

後、そのケースだとトークンはcsrf対策にはならん
トークンで対応出来るのはgetで登録出来るフローのみ
ブログでこの辺を勘違いしてる人間が多すぎる
本もね

入力フォーム
<?php
$_SESSION['token_a'] = $token;
?>
<input type="text" name="user[name]" value="">
<input type="text" name="user[code]" value="">
<input type="hidden" name="token[A]" value="<?php echo $token ?>">
ーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーー
確認フォーム
<?php
if( $_SESSION['token_a'] != $_POST['token']['a'] ){
//入力へリダイレクト
}
?>
<input type="hidden" name="user[name]" value="<?php echo $_POST['user']['name'] ?>" />
<input type="hidden" name="user[name]" value="<?php echo $_POST['user']['code'] ?>" />
<input type="hidden" name="token[A]" value="<?php echo $_POST['token']['a'] ?>">
ーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーー
登録フォーム
<?php
if( $_SESSION['token_a'] != $_POST['token']['a'] ){
//入力へリダイレクト
}
//値チェック
//登録
//登録完了
//セッション削除
?>

セッション削除はtoken[A]だ。

別画面はtoken[B]にすればいいんじゃね
別に同一セッションキー使う必要なくね？

あのさ、
何で入力フォームでトークンを発行してるの？
実登録は確認後なんだから意味ないと思うんだけど…

え？なんで？？

token発行
入力画面表示
↓
token存在確認＆同一か確認
確認画面表示
↓
token存在確認＆同一か確認
↓
登録
↓
登録完了
token削除

どこがおかしいのかな？ｗｗｗ

>>672
おかしい

画面遷移で入力→登録なフローがあるならそれでもいいが
入力→確認→登録なら確認の時にトークンを発行するのが正しい

tokenが何の為にあるのかちゃんとした知識をつけな

おかしくねーだろ
一回登録されたら消えるんだから
確認画面をurl直接入力しても確認画面表示されないし、
完了後戻るで確認画面に行ってsubmitしてもセッションのtoken消えてるし
何が問題なんだよ？

設計がおかしいと言ってる
tokenはmd5又はsha1を使用したとして入力→確認の遷移の度にハッシュ作成のコストと32-40byte無駄なPOSTをおくるわけ
大規模なWebサービスでそれやる人間がいたら俺は駄目な奴の烙印を押す
理由はtokenが何の為にあるのか理解せず使用しているから

>>675
じゃあ俺はもう何年もダメな奴の烙印を押され続けてる事になるなｗｗｗｗ

卑屈になるなよ
意味もわからず風潮のみで使用して無駄なコストを払ってるのは大手サイトでもよくある事
理由無くjsをheadで定義するサイトなんてごまんとあるしね

ごめんなさい。もうしません。

HTTPリクエスト全否定ですかそうですか

まあ、HTTPも色々便利になり過ぎたから、できるものなら一度全否定するのも
いいかもね、ただ、へたすると社会が回らなくなるくらい浸透しちゃったからなあ。

トークンって何？

ググれ

ビーフンは好きだぜ

>>681
東熱で、月額定額制以外の高画質ムービー購入に
必要なポイント的なもの。
1トークン=1US$
まとめ買いで割引あり。

トークン理解した。
それなら入力データをトークンをキーに複数
セッションに保存すればいいな

可変なものをkeyとかもうね
プログラミングを初歩からやりなおせ

>>685
せっかく教えてあげたのにw
東熱のシステム見ておいで。
金のやりとりがあるから、キッチリ作ってある。
エロ動画も見られて一石二鳥だよ。

フォーム別に作れば良いだけじゃね

たくさんの意見ありがとうございます。ほんと感謝します

>>668
＞後、そのケースだとトークンはcsrf対策にはならん
＞トークンで対応出来るのはgetで登録出来るフローのみ
これはどういうことですか？
postでの送信にトークンはcsrf対策にならないってことですか？


>>669
if( $_SESSION['token_a'] != $_POST['token']['a'] ){　の検証処理ですが、
フォームごとにトークン格納用セッションを作るわけですよね。
この処理だと同じフォームのウィンドウを複数開いた時に、
先に開いた方のフォームが確認ページで不正処理されることになりませんか？
全く別のフォームを開いた時にしか機能しないんではと。。
登録後のセッション削除処理完全に忘れてました、気付かせてくれてありがとうございます。


>>673
たしかに確認画面でのトークン生成で十分ですね。
入力画面開くたびに余分な32バイト負荷かけるなんて考えもしませんでした
ありがとうございます
673さんはどうやって「複数画面（フォーム）での平行処理＆CSRF対策」やってるんでしょうか？

ひろみちゅの記事でも読んどけ
http://takagi-hiromitsu.jp/diary/20060409.html

宣伝ご苦労様です

http://www.jumperz.net/texts/csrf.htm

ほれ、いろいろ足らんだろ。

ワンタイムトークン（笑）

>>690,692
ありがとうございます
それ両方とも読んだんですが、例に挙がってる確認画面でのpost値の保持が
hidden形式なので（高木さん）、自分のセッションに丸ごと入れるやり方だと
まんま流用できるとこまでいかないんです。
「まんま流用しないで自分で応用しろよ」て話だと思いますが
それで考えた方法が>>666です

入力～確認～登録　のフォームでの確認画面以降からのデータの持ち回し、
みんなhiddenでやってるわけじゃないですよね。
自分みたいにセッションに入れてる人もいるはずで、その場合どうやって
「複数画面（フォーム）での平行処理＆CSRF対策」やってるんでしょうか？

ほんと長々すみません。

だからトークんをキーにｋｖｓすればいいんだって

Yahoo知恵袋って何であんなに低レベルな回答者しか居ないのか教えてください
簡単な質問しか回答付いてるの見たこと無いです

ヤホーで検索して聞け

http://www.bspeedtest.jp/
こういうの作る場合ってどのような技術が必要ですか？

flash

flashは道具であって技術とは違うだろｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗ