Session管理してる？

1 ：2001/05/23 〜 最終レス ：2013/01/19

PHP3だとSession使えないから、id&passをhiddenで吐き出している。
DBで一意のsessionidを作ってやりゃーいいんだけどExpireとか
めんどくさい。
ASPやPHP4ならSession管理楽だよね。

2 ：

クッキーですれば？

3 ：

厨房質問でごめんなさい。
>ASPやPHP4ならSession管理楽だよね。
ASPやPHP4が、自分に代わってhiddenのパラメータなり(POSTの場合)、
GETパラメータなりを管理してくれてるのでしょうか？
tcp/ipの接続を持続してるとか、勝手にクッキー使ってるってわけでは
ないと思うのだけど、どうやってSessionを実装しているのかなあ、と疑問
に思ったので。

4 ：

>>3
ASPはcookie投げてるという話を聞いたなあ。
僕はperl + Apahce::Session with cookie ばっかだから知らないけど。

5 ：

>>3
デフォルトで勝手にクッキーを使うよ。クッキーを使えない端末の
ときは、configureの時に--enable-trans-sidしてあれば
全部のリンクにsession idをつけてくれる。
ただ、<a href=だとつくんだけど<a taskだとだめなんだよなぁ〜
というわけでHDMLの場合は自分でつける必要アリ

6 ：

>>4
Apache::Sessionってどうよ？
セッションのガベージコレクションの機能とかないんじゃなかったっけ？
俺は1リクエスト毎にデータベースに書きに行くのがすごくうざくって、
ちょっと触っただけでやめちゃったけれど・・・

7 ：

Session管理は結局どれも内部でクッキーかGET(orPOST)パラメータですか。
そりゃそれ以外ないよな。
あとは携帯電話の固体IDだけど、503iから使えるようになった奴ですが、
210iではどうだろう？

8 ：

>>6
セッションタイムアウトは自動でやってくれないね。
タイムスタンプのフィールド用意しておいて、cronで削除が一般的かな。
mod_perl下で使えば、かなり使えると思う。

9 ：

>>8
言う事なくなっちゃった（笑）
そういや、mod_perlのスレないね...。ま、perl板でも繁盛してなかったけど。
>>7
あと、URLにセッションIDを埋め込む方式があるね。
携帯とPCを両用したいときとかによくつかってます。

10 ：

>あと、URLにセッションIDを埋め込む方式があるね。
>携帯とPCを両用したいときとかによくつかってます。
PATH_INFOですか？
それもGETパラメータ(URL)の一種だとは思いますが、
QUERY_STRINGと比べて特に携帯だからPATH_INFOを使う
意味も無いような、、、
逆にPATH_INFOでも使う分には同じなのでどちらでもいいし、
QUERY_STRINGやPOSTパラメータはシステムによっては
自動的に解析される部分に入ってしまうだろうから、それらの
仕組みとぶつからないというメリットかな？

11 ：

PHP4セッション管理の詳しく説明してる
サイトってありますかねー？

12 ：

てかセッションってなんですか？

13 ：

>>11-12
ここ見たら？
http://www.itboost.co.jp/php/php_12.php
http://www.phpbuilder.com/columns/ying20000602.php3?print_mode=1

14 ：

>>13
うぉぉぉ！まさにコレ！
http://www.phpbuilder.com/columns/ying20000602.php3?print_mode=1
MySQLでセッション管理したかったんだよねーー！！ロードバランサは
（いいものになると）結構お値段が張るので、TurboLinux ClusterServer
とかを使ってWWWのクラスタリングをしたかったんだけど、セッションを
どーしよーかと途方に暮れてたところでした！
電動ナナシさん、ｻﾝｸｽ!これからも有益な情報をお願いしますです！

15 ：

セッション管理はPostgresでは難しいのかー？
MySQLの方がいいのかな？

16 ：

>>10
PATH_INFOじゃなくても、mod_rewriteで
ごにょごにょやる手もあるよ。環境変数として渡したり。

17 ：

>>15
webのセッション管理にDBMSって関係有る？
PHPのインターフェースの部分が、DBMSによってセッション管理が
用意されている/いないの差があるということかな？
おれはPHPでないので知りませんが。

18 ：

セッション管理は頻繁に発生する、トランザクションのような一貫性保証は
不要、ということで、PostgreSQL のような重装備の RDBMS よりも MySQL の
ような軽くて高速なデータベースが向いているということでしょ。
すでに PostgreSQL があってそれを使いたいということなら、別にそれでも
いいでしょ。セッションハンドラは別途書かないといけないというのはどの
RDBMS でも一緒。

19 ：

セッション管理ってなんで必要なの？

20 ：

>>19
衝撃の質問！

21 ：

PHPLIB+MySQL+PHP3.0.9でセッション管理してます。ただ、レンタル
サーバーなんで都度requireしなければいけないのですが...
しかし、国際版PHPじゃないのがつらすぎる。Perl+DBIのほうが開発早かった
かもしれんッス

22 ：

>>19
常に必要ってわけじゃない。
Web ページ間で変数を引き渡す手段が必要なときに有用ってだけ。
>>20
3.0.9 って思いっきりセキュリティホールがあるじゃん。
バージョンあげてもらうついでに国際化版にしてもらおう。
それが無理なら Perl を使ったほうがマジでいいぞ。

23 ：

ちょっと質問。
よくユーザ登録のページで情報を入力しsubmitして
確認画面がでますよね。でソースを見ると入力内容をHidden
で渡してるものもあれば、Hiddenを使用していないものもあります。
Hiddenを使用せず渡すのは、s_id見たいなものを
をキーにして入力内容をDBに毎回insertしてページ間でデータが
渡っているのでしょうか？それとも別の方法があるんですかね？
疑問だったので・・・。

24 ：

>>23 cookie

25 ：

>>23 cookie

26 ：

またはipを基に一時ファイル作成とか…。
まぁ普通はCookieだと思うが

27 ：

cookieに依存すると、専用端末や携帯電話やcookie offに対応することに
なったときに面倒っすよ。趣味でPCだけ相手にしているときにはいいけど。

28 ：

>>27
ソース見てhiddenがないのはどうなってるのかって聞いたから例としてcookie
と言ったまで。
そりゃ状況によって方法は変えますよ、わたしゃ。

29 ：

age

30 ：

>>23
Servlet ではセッションはサーバのメモリに保持する。
ファイルやDBはオーバーヘッドがあるのであまりないね〜。
PHP4 はファイルですよね（よく分からんけど）
>>24
クッキーに情報自体を保持するのは、一般的？に
セッション管理とは言いにくいような。。。
# セッションIDは別

31 ：

>>30
セッション終了時に消えるクッキーをセッションクッキーって
言うの知らないの？

32 ：

>>31
怒ってる〜？
そうだね。レスポンスヘッダに設定する有効期限を無しに
すればセッションが続く限りクライアントが情報を保持するよね。
んで、そのセッションクッキーってのを使うと
セッション管理してるということになるの？
hidden と同じでクライアントに投げたら投げっぱなしなので
管理とは言いがたいような気がします〜。
毎回切断される HTTP で継続して情報を保持するために
サーバでランダムな ID を発行し、それをキーにクライアントと
やりとりを行う。
それをセッション管理と言う。

33 ：

>>32
そのやり取りって、クッキー使ってんじゃないの?

34 ：

どっちにしてもcookie使わない方法はないと思うが。
もちろん、擬似的なセッション維持だとは思うけど。
データをどこにもつかって事だと思うけど、
cokkieはドメイン毎に4Kまでの制限があるから、
ふつうサーバーでデータは保持する。

35 ：

クッキーだけでなく、サーバで発行したランダムなIDは次の
いづれかでやりとりされる。
・クッキー
・get リクエスト
・put リクエスト
このIDを普通はセッションIDっていうよね。
最近の Java や PHP では意識はしなくてもいいけど。

36 ：

＞・クッキー
＞・get リクエスト
＞・put リクエスト
結局hidden以外はcookieじゃん。

37 ：

URL Rewrite を忘れてる。<A HREF="/a/b/c;98A30x7"> みたい
なの。現行のステートマネージメントは
　・Cookie の受け渡し
　・HIDDEN フィールド
　・URL Rewrite
で行われている (Servet の話だけど)。
ちなみにセッション ID がランダムに振られるシステムは設計が
おかしい。

38 ：

間違えた。。。 put は post です。。。
・クッキー <- Cookie の受け渡し
・post リクエスト <- HIDDEN フィールド
・get リクエスト <- URL Rewrite
私の表現がおかしい〜？
URL Rewrite は クッキーが使えないときにAP サーバが
セッションIDを URL に Rewrite するっていうものだよね。
最近、セキュリティ的に問題があるので使ってはいけないというのが
良く言われてるけど。
セッションIDがランダムに振られるのがおかしいというのはなぜ〜？
最近はAPサーバにセッション管理が実装されてるから
あまり意識してないもので。。。
一意性の問題？

39 ：

そう、一意性の問題。普通はシーケンシャルに採番して一意性を
維持したままシャッフルすると思われる。ちょっと揚げ足を取っ
てみただけ。
現行のステートマネージメントメカニズムは、どの方法も SSL と
組み合わせないとセキュリティ的に問題ありだね。というか
そんなの Web の常識だったはずなのに、なぜ突然ひろみちゅが
騒ぎ始めたのか分からんよ。
URL Rewrite/HIDDEN フィールド
　ソースを見れば一目瞭然。URL 欄にも表示される。ジャンプ先
　サイトでは Referer ヘッダで参照可能 (ブラウザの種類と
　バージョンにもよる)。自サイトを SSL 化しても Referer
　ヘッダは漏れてしまうかも (なりすまし接続は無理だろうが)。
Cookie
　丸見えでない分 URL Rewrite/HIDDEN フィールドよりまし
　だが平文であることには変わりない。プロキシサーバなら
　余裕で盗める。期限付きのはファイルで残る。
# 昔、クライアント側の IP アドレスを使ってセッション ID
# にハッシュかければセキュリティもバッチリでは? と発明
# しかけたが、程なくプロキシの存在を忘れているのに気づ
# いた。

40 ：

>>30
クライアント側のクッキーにはIDのみで、
セッション情報はサーバ側に保存されるので
セキュリティ的には問題ない
と、どっかで読んだ覚えがあるんですが。

41 ：

>>30は>>39の間違いでした。

42 ：

セッション ID を盗まれると言うことは、意味的にサーバサイドの
セッション情報ごと盗まれるのと等しい。ただ、情報が丸見えでは
なく、どのような情報か想像しずらいという人間的な利点があるだけ。
ユーザ認証後のセッション ID を盗まれたら、アプリケーションを
乗っ取られたのと事実上同じ。セキュリティを確保したければ SSL
と併用せれ。

43 ：

セッション ID を盗まれると言うことは、意味的にサーバサイドの
セッション情報ごと盗まれるのと等しい。ただ、情報が丸見えでは
なく、どのような情報か想像しずらいという人間的な利点があるだけ。
ユーザ認証後のセッション ID を盗まれたら、アプリケーションを
乗っ取られたのと事実上同じ。セキュリティを確保したければ SSL
と併用せれ。

44 ：

>43
ID+有効期限を暗号化して発行すれば、
多少マシになる。

45 ：

>>44 その暗号化のキーは?

46 ：

>>44 その暗号化のキーは?

47 ：

>46
なんでもいいじゃない？
暗号化も複合化もサーバーでやるんだから
実際にやってるけど、SIDとログインタイムをある形式にフォーマットして
BASE64で暗号化して発行。クライアントから返されるSIDは形式のチェックで先ずはじく。
仮に、クッキー盗まれても有効期限内しか使えないし、
まあ、解読も可能だろうけど、一定期間でキーやアルゴリズム変えれば、
それなりに実用的だと思う。
なんか間違ってる？

48 ：

Crypt::Blowfishで暗号化でした
つくったのはおいらでないので間違ってるかも

49 ：

いくら強力な暗号化アルゴリズムを使っても、キーがサーバ側に
あったら意味ないでしょ。盗んだ側にとっては ID が暗号化され
ているかどうかなんて関係なく、盗んだ Cookie をそのまま送り
返せばよいのだから (だから >>39 でクライアント側の IP ア
ドレスをキーにハッシュかけようとした)。
あ、俺が考えてるのは中継サーバ等で Cookie が盗まれた場合ね。
総当りでのセッション ID 盗難防止という話だったら暗号化だけで
効果は高い。んーでも総当りなんて目立つ方法で盗もうとする莫迦
いるか? だから、わざわざセッション ID を暗号化してもたいした
効果がないと思っただけ。

50 ：

すまん、ハッシュではなく可逆符号化だ…。

51 ：

間にProxyが入ろうがどうしようが
クライアント固有の識別ID(macアドレスとか)を
簡単に取れる手段があるといいんですがねえ。
プライバシー的には問題おおありですが。
そういうの、MSならやってくれ・・・ないか。さすがに。

52 ：

proxyの問題を考えなければ簡単なんだけどね＞セッションID盗難対策
503iのような、固体識別番号取得タグをどのブラウザも実装してくれれば
話は簡単だけれども。
確認が入るのでプライバシー的な問題も無いと思うし、MSさん実装して
くれまいか。

53 ：

ＳＳＬ使え

54 ：

だめ。SSLで守れたと思っちゃだめ。はー
いま(さらながらに)騒がれてるやつあるよね。
あれは相当驚異だよ。たぶん完全に防げてるサイトなんて数えるほど。

55 ：

まじっすか? それって何?

56 ：

DoCoMoがNULLDOCOMOGW(だっけ?)を一般ユーザーに開放してくれればいいのに…

57 ：

>>55
おれは54じゃないけど
クレジットカード情報がサーバ上ではまるみえで、
ブラウザのURL直打ちで見れちゃったというニュースなら読んだ。
http://hwj-www.hotwired.co.jp/news/news/business/story/20010625102.html

58 ：

>>54 SSL とサイトへの侵入とがごっちゃになってないか?
それとも SSL のポートを使って侵入 or 成りすましという話か?

59 ：

Cookieは楽々盗めるって話。進入は無関係だけど…

60 ：

ソースはどこよ

61 ：

言っちゃってもいいかどうか解らん。広めるならもっと思いっきり広めないとだし。
実は知ってる人にはあたり前のことではあるが、C****S***-S********のことです。
解っててもそうそう防ぎ切れないもんでおれも困ってるの。もうここまでにしとくね。
きっとしかるべき機関なり人がしかるべきところで注意喚起してくれることを期待して。

62 ：

被害立証できるんだったらオフラインでなんかすりゃいいじゃん。

63 ：

SSL で Cookie 盗んで、なりすましまで出来るものですか?
マジできたら今まで言ったこと撤回するわ。

64 ：

GETをはじく方法ってありますかね？
たとえばxxxx.php?id=123がありid部分を違う数字に
変えれば違う情報が表示されます。
直接入力された時は処理できないようにしたいのですが・・・。

65 ：

直接って事は自サイト等からリンクされてる場合は良いの？

66 ：

PHP4 のセッション変数って、オブジェクト（つまりクラスのインスタンス）は格納できるの？

67 ：

>>64
サーバ側で何使ってるんだ?
CGIならREQUEST_METHODを見る
ServletならdoGet()とdoPost()で処理を分ける

68 ：

>>64 Apache 使ってるなら httpd.conf か .htaccess で
GET がはじけるだろう。まにあるみれ。

69 ：

>>66
セッションの登録について PHP4 マニュアルには
「変数名を保持する文字列または変数名からなる配列」
ってあるね。
Java だと Serializable なオブジェクト（Javabean とか）は
出来るのにね〜。

70 ：

>>69 レスありがと。
あきらめきれずこんなテストコード書いたらちゃんとカウントアプしてくれた。
<?php
class testFoo {
　var $count;
　function testFoo($i) {
　　$this->count = $i;
　}
　function inc() {
　　$this->count++;
　}
　function hello() {
　　$this->inc();;
　　echo("hello, " . $this->count . " times.\n");
　}
}
session_start();
if (!isset($obj)) {
　$obj = new testFoo(0);
　session_register("obj");
}
?>
<html>
<h1>
<?php $obj->hello(); ?>
</h1>
</html>
/tmp覗いたら
obj|O:7:"testfoo":1:{s:5:"count";i:3;}
となんとなくシリアライズしてくれてる風味。

71 ：

>>69
そのマニュアルの記述は、session_register(); の引数は
変数を表す文字列かその配列だよという意味だったんだね。

72 ：

PHP4で各ユーザのセッションファイル(sess_*）の特定は
セッションＩＤの取得すればよいのですかね？
たとえばxxx.php?session_idのような感じでＯＫかな？
じゃ、Hiddenで渡すとき、nameは何になるのでしょうか？
疑問だったので・・・・・。

73 ：

>>64
例：
$value=$HTTP_POST_VARS["hoge"];
これだとGET送信されたhoge(パラメータ名)の値は取れません。
phpの設定によっては使用できませんが。

74 ：

>>72 セッションIDって今まで意識してなかったけど、取得しないとなにか不都合あるの？

75 ：

>>74
各ユーザのセッション情報を特定するということじゃないのかな？
例えば、各ユーザでカスタマイズされたページを出力
するとか・・・。

76 ：

>>74
必要性を感じないなら必要なし。
複数のHTTPセッションに渡ってクライアント情報を維持したいときに便利。

77 ：

>>76
PHP4 でしょ？　だったら session_start() するだけて
session_register() した変数をとりこんでくれるんだから
スクリプト側は session ID を意識しなくていいじゃん。

78 ：

ああ、そうね。書いてから気づいたよ。
セッション終わっても情報を取っときたいってことね。

79 ：

PHPのセッションって
セッションタイムアウトってゆー概念がないの？
(ASPにあるよーなやつ)

80 ：

あげましょう。

81 ：

あげ。

82 ：

>>79
あるよ〜。設定はphp.iniじゃなかったかな？覚えてなくてごめん。

83 ：

>>82
消える確率とか設定あったよね。どうしてランダムなのか理解に苦しんだ。

84 ：

セッション管理って大丈夫？
二つのページを同時にアクセスした場合とかどうよ
セッション情報に「前のページ」とか残して、
それを信用して組んだりできないよね...

85 ：

>>84
>二つのページを同時にアクセスした場合とかどうよ
二つは別セッションになるんじゃないの？

86 ：

>>84
>セッション情報に「前のページ」とか残して、
>それを信用して組んだりできないよね...
セッション管理が大丈夫かどうかとは関係ない気が
>>85
それは、IEでなんか設定したときだけじゃない？

87 ：

クッキーに関しての質問です。
クッキーに配列を保存できますかね？
例えば、
$data=array(
"a" => "hoge1",
"b" => "hoge2"
);
SetCookie("hogehoge", $data);
こんな感じで$data配列を作成しクッキーに保存して、
$c_data=$HTTP_COOKIE_VARS["hogehoge"];
で、データを呼び出して
echo"$c_data[a]";
で出力できるようにしたいのですが、
なかなかうまくいかないです。

88 ：

>>87
こんなスレに書いても、セッション使えで終わると思うが。
再びスレ違い？

89 ：

>>87
Cookie は文字列しか受け付けないだろ？
マニュアル (http://www.php.net/manual/en/function.setcookie.php) を
見れば分かるが、引数は "string" と書いてある。
int setcookie (string name [, string value [, int expire [, string path [, string domain [, int secure]]]]])
マニュアルのサンプルコードにやりたいことのやり方が書いてあるぞ。

90 ：

>>86
>それは、IEでなんか設定したときだけじゃない？
（・∀・）？

91 ：

>>90
クッキーの寿命の話ね。
ひとつのブラウザで１つのセッションになる。
IEは、設定すればウィンドウごとに別セッションになる。
セッションで「前のページ」を保存って話題だから、パラメータでセッション変数渡すことは考えてない。
そんときはパラメータに前ページ情報つければなにも問題ないから。

92 ：

>>91
>IEは、設定すればウィンドウごとに別セッションになる。
どうやってすんの？

93 ：

インターネットオプションで変更するの

94 ：

>>93
クッキーのとこ？
なんないけど

95 ：

そろそろ>>61について教えて欲しかったり。
age

96 ：

ん？
クロスサイトスクリプティングでしょ？

97 ：

>>96
あーホントだ、よく見りゃそうだ。どうもありが�d
これで安心して眠れるぞヽ(´ー｀)ノ

98 ：

PHP4のセッション初めてつかたけど、
/tmpにセッションごとの変数の値ががんがんたまってます。
もういいやと思ったあたりで消すしかないんでしょうか？

99 ：

ガーベジコレクションで消えてくんじゃない？

100read 1read

1read 100read
TOP カテ一覧 スレ一覧 2ch元 削除依頼 ▲

PHPでオークションサイトを作ろう！ (287)
PHP + PostgreSQL (771)
アプリケーションサーバって必要？ (209)
30代が趣味でこれから覚えるならどっち？Perlかphp (562)
人工無脳 (473)
ギコタクの「だから逝ってないでしょ」出張所 (413)
--log9.info------------------
幻水２のルカ様は豚カッコイイ13匹目 (591)
TOVのデュークは是非もないｶｯｺｲｲ (665)
【Ｌ1】TOX2 ルドガー変身2回目【R1】 (479)
みつめ続けてもポップンのかごめに萌えるスレ (256)
【芋蒸】CAVE萌えスレ 開催45日目【栗蒸】 (663)
【侍魂】覇王丸×ナコルル【覇王丸さん凄い編】 (483)
【TOA】ルーク・フォン・ファブレを語るスレ (957)
【英才教育】三國無双の鍾会はヘタレカワイイ2 (976)
[TOG]ヒューバート×パスカル (647)
TOGのマリクは無謀教官ソ２ックバスター！ (724)
TOGのパスカルはあら４が来たぞ〜！ (291)
メルルのアトリエのメルル萌えスレ3 (203)
TOGのヒューバートは4んだ魚介を捕食するぜ! (871)
【うみねこ】古戸ヱリカｽﾚ お箸4膳目【愛猫家】 (472)
【ロボティクス・ノーツ】瀬乃宮あき穂はジャキーンかわいい 2 (380)
【傭兵】TOXのアルヴィンxエリーゼスレ【姫】 (956)
--log55.com------------------
現役＆元ガソリンスタンド店員が本音を語るスレ53
【自動運転】運転支援システム レベル3
【女人】頼む！女は運転しないでくれ75【禁制】
【自家用車】安心して暮らせる世界へPART4【大幅規制】
中華ナビのあれこれ Part10
【車】 カースピーカーを語るスレ40
【ユピテル専用】レー探スレッド★104
【交通事故撲滅】安心して暮らせる世界へPART4(レスした者は自家用車規制案に同意したものとみなす)