1 :
名無しさん@お腹いっぱい。:
PHP3だとSession使えないから、id&passをhiddenで吐き出している。
DBで一意のsessionidを作ってやりゃーいいんだけどExpireとか
めんどくさい。
ASPやPHP4ならSession管理楽だよね。
クッキーですれば?
厨房質問でごめんなさい。
>ASPやPHP4ならSession管理楽だよね。
ASPやPHP4が、自分に代わってhiddenのパラメータなり(POSTの場合)、
GETパラメータなりを管理してくれてるのでしょうか?
tcp/ipの接続を持続してるとか、勝手にクッキー使ってるってわけでは
ないと思うのだけど、どうやってSessionを実装しているのかなあ、と疑問
に思ったので。
>>3 ASPはcookie投げてるという話を聞いたなあ。
僕はperl + Apahce::Session with cookie ばっかだから知らないけど。
5 :
ナナシファン:2001/05/24(木) 10:55 ID:X3JWHld.
>>3 デフォルトで勝手にクッキーを使うよ。クッキーを使えない端末の
ときは、configureの時に--enable-trans-sidしてあれば
全部のリンクにsession idをつけてくれる。
ただ、<a href=だとつくんだけど<a taskだとだめなんだよなぁ〜
というわけでHDMLの場合は自分でつける必要アリ
6 :
俺もナナシファンだったり:2001/05/24(木) 12:10 ID:VUBEv.zk
>>4 Apache::Sessionってどうよ?
セッションのガベージコレクションの機能とかないんじゃなかったっけ?
俺は1リクエスト毎にデータベースに書きに行くのがすごくうざくって、
ちょっと触っただけでやめちゃったけれど・・・
7 :
3:2001/05/24(木) 15:32 ID:???
Session管理は結局どれも内部でクッキーかGET(orPOST)パラメータですか。
そりゃそれ以外ないよな。
あとは携帯電話の固体IDだけど、503iから使えるようになった奴ですが、
210iではどうだろう?
8 :
4じゃないけど:2001/05/24(木) 20:26 ID:CDMAiqEA
>>6 セッションタイムアウトは自動でやってくれないね。
タイムスタンプのフィールド用意しておいて、cronで削除が一般的かな。
mod_perl下で使えば、かなり使えると思う。
9 :
4:2001/05/25(金) 03:05 ID:C8bJzxHM
>>8 言う事なくなっちゃった(笑)
そういや、mod_perlのスレないね...。ま、perl板でも繁盛してなかったけど。
>>7 あと、URLにセッションIDを埋め込む方式があるね。
携帯とPCを両用したいときとかによくつかってます。
10 :
3:2001/05/25(金) 11:07 ID:y6UssZUU
>あと、URLにセッションIDを埋め込む方式があるね。
>携帯とPCを両用したいときとかによくつかってます。
PATH_INFOですか?
それもGETパラメータ(URL)の一種だとは思いますが、
QUERY_STRINGと比べて特に携帯だからPATH_INFOを使う
意味も無いような、、、
逆にPATH_INFOでも使う分には同じなのでどちらでもいいし、
QUERY_STRINGやPOSTパラメータはシステムによっては
自動的に解析される部分に入ってしまうだろうから、それらの
仕組みとぶつからないというメリットかな?
11 :
名無しさん@お腹いっぱい。:2001/05/25(金) 14:35 ID:jbE0alI6
PHP4セッション管理の詳しく説明してる
サイトってありますかねー?
てかセッションってなんですか?
13 :
電動ナナシ:2001/05/26(土) 00:03 ID:???
14 :
ナナシファン:2001/05/29(火) 12:40 ID:S1fqIqMg
15 :
名無しさん@お腹いっぱい。:2001/05/29(火) 18:09 ID:i2JkDuIg
セッション管理はPostgresでは難しいのかー?
MySQLの方がいいのかな?
16 :
名無しさん@お腹いっぱい。:2001/05/29(火) 18:57 ID:oi4kyUtI
>>10 PATH_INFOじゃなくても、mod_rewriteで
ごにょごにょやる手もあるよ。環境変数として渡したり。
>>15 webのセッション管理にDBMSって関係有る?
PHPのインターフェースの部分が、DBMSによってセッション管理が
用意されている/いないの差があるということかな?
おれはPHPでないので知りませんが。
18 :
電動ナナシ:2001/05/30(水) 15:13 ID:???
セッション管理は頻繁に発生する、トランザクションのような一貫性保証は
不要、ということで、PostgreSQL のような重装備の RDBMS よりも MySQL の
ような軽くて高速なデータベースが向いているということでしょ。
すでに PostgreSQL があってそれを使いたいということなら、別にそれでも
いいでしょ。セッションハンドラは別途書かないといけないというのはどの
RDBMS でも一緒。
19 :
名無しさん@お腹いっぱい。:2001/05/31(木) 12:55 ID:6kiiO4aQ
セッション管理ってなんで必要なの?
21 :
名無しさん@お腹いっぱい。:2001/06/01(金) 10:08 ID:lW7xbRZQ
PHPLIB+MySQL+PHP3.0.9でセッション管理してます。ただ、レンタル
サーバーなんで都度requireしなければいけないのですが...
しかし、国際版PHPじゃないのがつらすぎる。Perl+DBIのほうが開発早かった
かもしれんッス
22 :
電動ナナシ:2001/06/01(金) 17:50 ID:???
>>19 常に必要ってわけじゃない。
Web ページ間で変数を引き渡す手段が必要なときに有用ってだけ。
>>20 3.0.9 って思いっきりセキュリティホールがあるじゃん。
バージョンあげてもらうついでに国際化版にしてもらおう。
それが無理なら Perl を使ったほうがマジでいいぞ。
23 :
名無しさん@お腹いっぱい。:2001/06/11(月) 11:59 ID:BchxEcFA
ちょっと質問。
よくユーザ登録のページで情報を入力しsubmitして
確認画面がでますよね。でソースを見ると入力内容をHidden
で渡してるものもあれば、Hiddenを使用していないものもあります。
Hiddenを使用せず渡すのは、s_id見たいなものを
をキーにして入力内容をDBに毎回insertしてページ間でデータが
渡っているのでしょうか?それとも別の方法があるんですかね?
疑問だったので・・・。
24 :
sage:2001/06/11(月) 12:12 ID:???
25 :
sage:2001/06/11(月) 12:11 ID:???
またはipを基に一時ファイル作成とか…。
まぁ普通はCookieだと思うが
cookieに依存すると、専用端末や携帯電話やcookie offに対応することに
なったときに面倒っすよ。趣味でPCだけ相手にしているときにはいいけど。
>>27 ソース見てhiddenがないのはどうなってるのかって聞いたから例としてcookie
と言ったまで。
そりゃ状況によって方法は変えますよ、わたしゃ。
29 :
名無しさん@お腹いっぱい。:2001/06/22(金) 12:49 ID:yGqQ.0ks
age
30 :
殿堂ナナシ:2001/06/22(金) 22:26 ID:???
>>23 Servlet ではセッションはサーバのメモリに保持する。
ファイルやDBはオーバーヘッドがあるのであまりないね〜。
PHP4 はファイルですよね(よく分からんけど)
>>24 クッキーに情報自体を保持するのは、一般的?に
セッション管理とは言いにくいような。。。
# セッションIDは別
>>30 セッション終了時に消えるクッキーをセッションクッキーって
言うの知らないの?
32 :
殿堂ナナシ:2001/06/22(金) 23:21 ID:???
>>31 怒ってる〜?
そうだね。レスポンスヘッダに設定する有効期限を無しに
すればセッションが続く限りクライアントが情報を保持するよね。
んで、そのセッションクッキーってのを使うと
セッション管理してるということになるの?
hidden と同じでクライアントに投げたら投げっぱなしなので
管理とは言いがたいような気がします〜。
毎回切断される HTTP で継続して情報を保持するために
サーバでランダムな ID を発行し、それをキーにクライアントと
やりとりを行う。
それをセッション管理と言う。
>>32 そのやり取りって、クッキー使ってんじゃないの?
どっちにしてもcookie使わない方法はないと思うが。
もちろん、擬似的なセッション維持だとは思うけど。
データをどこにもつかって事だと思うけど、
cokkieはドメイン毎に4Kまでの制限があるから、
ふつうサーバーでデータは保持する。
35 :
殿堂ナナシ:2001/06/23(土) 22:56 ID:???
クッキーだけでなく、サーバで発行したランダムなIDは次の
いづれかでやりとりされる。
・クッキー
・get リクエスト
・put リクエスト
このIDを普通はセッションIDっていうよね。
最近の Java や PHP では意識はしなくてもいいけど。
>・クッキー
>・get リクエスト
>・put リクエスト
結局hidden以外はcookieじゃん。
URL Rewrite を忘れてる。<A HREF="/a/b/c;98A30x7"> みたい
なの。現行のステートマネージメントは
・Cookie の受け渡し
・HIDDEN フィールド
・URL Rewrite
で行われている (Servet の話だけど)。
ちなみにセッション ID がランダムに振られるシステムは設計が
おかしい。
38 :
殿堂ナナシ:2001/06/24(日) 21:36 ID:???
間違えた。。。 put は post です。。。
・クッキー <- Cookie の受け渡し
・post リクエスト <- HIDDEN フィールド
・get リクエスト <- URL Rewrite
私の表現がおかしい〜?
URL Rewrite は クッキーが使えないときにAP サーバが
セッションIDを URL に Rewrite するっていうものだよね。
最近、セキュリティ的に問題があるので使ってはいけないというのが
良く言われてるけど。
セッションIDがランダムに振られるのがおかしいというのはなぜ〜?
最近はAPサーバにセッション管理が実装されてるから
あまり意識してないもので。。。
一意性の問題?
そう、一意性の問題。普通はシーケンシャルに採番して一意性を
維持したままシャッフルすると思われる。ちょっと揚げ足を取っ
てみただけ。
現行のステートマネージメントメカニズムは、どの方法も SSL と
組み合わせないとセキュリティ的に問題ありだね。というか
そんなの Web の常識だったはずなのに、なぜ突然ひろみちゅが
騒ぎ始めたのか分からんよ。
URL Rewrite/HIDDEN フィールド
ソースを見れば一目瞭然。URL 欄にも表示される。ジャンプ先
サイトでは Referer ヘッダで参照可能 (ブラウザの種類と
バージョンにもよる)。自サイトを SSL 化しても Referer
ヘッダは漏れてしまうかも (なりすまし接続は無理だろうが)。
Cookie
丸見えでない分 URL Rewrite/HIDDEN フィールドよりまし
だが平文であることには変わりない。プロキシサーバなら
余裕で盗める。期限付きのはファイルで残る。
# 昔、クライアント側の IP アドレスを使ってセッション ID
# にハッシュかければセキュリティもバッチリでは? と発明
# しかけたが、程なくプロキシの存在を忘れているのに気づ
# いた。
>>30 クライアント側のクッキーにはIDのみで、
セッション情報はサーバ側に保存されるので
セキュリティ的には問題ない
と、どっかで読んだ覚えがあるんですが。
41 :
40:2001/06/25(月) 15:59 ID:???
セッション ID を盗まれると言うことは、意味的にサーバサイドの
セッション情報ごと盗まれるのと等しい。ただ、情報が丸見えでは
なく、どのような情報か想像しずらいという人間的な利点があるだけ。
ユーザ認証後のセッション ID を盗まれたら、アプリケーションを
乗っ取られたのと事実上同じ。セキュリティを確保したければ SSL
と併用せれ。
セッション ID を盗まれると言うことは、意味的にサーバサイドの
セッション情報ごと盗まれるのと等しい。ただ、情報が丸見えでは
なく、どのような情報か想像しずらいという人間的な利点があるだけ。
ユーザ認証後のセッション ID を盗まれたら、アプリケーションを
乗っ取られたのと事実上同じ。セキュリティを確保したければ SSL
と併用せれ。
>43
ID+有効期限を暗号化して発行すれば、
多少マシになる。
47 :
名無しさん@お腹いっぱい。:2001/06/26(火) 23:59 ID:DSIpbR1w
>46
なんでもいいじゃない?
暗号化も複合化もサーバーでやるんだから
実際にやってるけど、SIDとログインタイムをある形式にフォーマットして
BASE64で暗号化して発行。クライアントから返されるSIDは形式のチェックで先ずはじく。
仮に、クッキー盗まれても有効期限内しか使えないし、
まあ、解読も可能だろうけど、一定期間でキーやアルゴリズム変えれば、
それなりに実用的だと思う。
なんか間違ってる?
Crypt::Blowfishで暗号化でした
つくったのはおいらでないので間違ってるかも
49 :
名無しさん@おへそいっぱい。 :2001/06/27(水) 00:52 ID:DNFpNq1I
いくら強力な暗号化アルゴリズムを使っても、キーがサーバ側に
あったら意味ないでしょ。盗んだ側にとっては ID が暗号化され
ているかどうかなんて関係なく、盗んだ Cookie をそのまま送り
返せばよいのだから (だから
>>39 でクライアント側の IP ア
ドレスをキーにハッシュかけようとした)。
あ、俺が考えてるのは中継サーバ等で Cookie が盗まれた場合ね。
総当りでのセッション ID 盗難防止という話だったら暗号化だけで
効果は高い。んーでも総当りなんて目立つ方法で盗もうとする莫迦
いるか? だから、わざわざセッション ID を暗号化してもたいした
効果がないと思っただけ。
すまん、ハッシュではなく可逆符号化だ…。
51 :
名無しさん@お腹いっぱい。:2001/06/27(水) 02:33 ID:IVYsrfFE
間にProxyが入ろうがどうしようが
クライアント固有の識別ID(macアドレスとか)を
簡単に取れる手段があるといいんですがねえ。
プライバシー的には問題おおありですが。
そういうの、MSならやってくれ・・・ないか。さすがに。
proxyの問題を考えなければ簡単なんだけどね>セッションID盗難対策
503iのような、固体識別番号取得タグをどのブラウザも実装してくれれば
話は簡単だけれども。
確認が入るのでプライバシー的な問題も無いと思うし、MSさん実装して
くれまいか。
SSL使え
54 :
名無しさん@お腹いっぱい。:2001/07/02(月) 21:19 ID:T7UPCPm6
だめ。SSLで守れたと思っちゃだめ。はー
いま(さらながらに)騒がれてるやつあるよね。
あれは相当驚異だよ。たぶん完全に防げてるサイトなんて数えるほど。
55 :
名無しさん@お腹いっぱい。:2001/07/02(月) 22:08 ID:pL9j.pM6
まじっすか? それって何?
56 :
名無しさん:2001/07/02(月) 22:14 ID:???
DoCoMoがNULLDOCOMOGW(だっけ?)を一般ユーザーに開放してくれればいいのに…
58 :
名無しさん@お腹いっぱい。:2001/07/03(火) 04:13 ID:PMTadY4o
>>54 SSL とサイトへの侵入とがごっちゃになってないか?
それとも SSL のポートを使って侵入 or 成りすましという話か?
Cookieは楽々盗めるって話。進入は無関係だけど…
60 :
名無しさん@お腹いっぱい。:2001/07/03(火) 09:58 ID:.3Xwbm0A
ソースはどこよ
言っちゃってもいいかどうか解らん。広めるならもっと思いっきり広めないとだし。
実は知ってる人にはあたり前のことではあるが、C****S***-S********のことです。
解っててもそうそう防ぎ切れないもんでおれも困ってるの。もうここまでにしとくね。
きっとしかるべき機関なり人がしかるべきところで注意喚起してくれることを期待して。
被害立証できるんだったらオフラインでなんかすりゃいいじゃん。
63 :
名無しさん@おへそいっぱい。:2001/07/03(火) 13:41 ID:EU3mmkbg
SSL で Cookie 盗んで、なりすましまで出来るものですか?
マジできたら今まで言ったこと撤回するわ。
GETをはじく方法ってありますかね?
たとえばxxxx.php?id=123がありid部分を違う数字に
変えれば違う情報が表示されます。
直接入力された時は処理できないようにしたいのですが・・・。
直接って事は自サイト等からリンクされてる場合は良いの?
PHP4 のセッション変数って、オブジェクト(つまりクラスのインスタンス)は格納できるの?
>>64 サーバ側で何使ってるんだ?
CGIならREQUEST_METHODを見る
ServletならdoGet()とdoPost()で処理を分ける
68 :
名無しさん@おへそいっぱい。:2001/07/04(水) 21:28 ID:U5Vc3q2o
>>64 Apache 使ってるなら httpd.conf か .htaccess で
GET がはじけるだろう。まにあるみれ。
69 :
殿堂ナナシ:2001/07/04(水) 23:34 ID:???
>>66 セッションの登録について PHP4 マニュアルには
「変数名を保持する文字列または変数名からなる配列」
ってあるね。
Java だと Serializable なオブジェクト(Javabean とか)は
出来るのにね〜。
70 :
66:2001/07/05(木) 01:19 ID:???
>>69 レスありがと。
あきらめきれずこんなテストコード書いたらちゃんとカウントアプしてくれた。
<?php
class testFoo {
var $count;
function testFoo($i) {
$this->count = $i;
}
function inc() {
$this->count++;
}
function hello() {
$this->inc();;
echo("hello, " . $this->count . " times.\n");
}
}
session_start();
if (!isset($obj)) {
$obj = new testFoo(0);
session_register("obj");
}
?>
<html>
<h1>
<?php $obj->hello(); ?>
</h1>
</html>
/tmp覗いたら
obj|O:7:"testfoo":1:{s:5:"count";i:3;}
となんとなくシリアライズしてくれてる風味。
>>69 そのマニュアルの記述は、session_register(); の引数は
変数を表す文字列かその配列だよという意味だったんだね。
PHP4で各ユーザのセッションファイル(sess_*)の特定は
セッションIDの取得すればよいのですかね?
たとえばxxx.php?session_idのような感じでOKかな?
じゃ、Hiddenで渡すとき、nameは何になるのでしょうか?
疑問だったので・・・・・。
73 :
名無しさん@お腹いっぱい。:2001/07/13(金) 14:14 ID:IqmDBVro
>>64 例:
$value=$HTTP_POST_VARS["hoge"];
これだとGET送信されたhoge(パラメータ名)の値は取れません。
phpの設定によっては使用できませんが。
>>72 セッションIDって今まで意識してなかったけど、取得しないとなにか不都合あるの?
75 :
名無しさん@お腹いっぱい。:2001/07/18(水) 09:56 ID:pNSSuY1U
>>74 各ユーザのセッション情報を特定するということじゃないのかな?
例えば、各ユーザでカスタマイズされたページを出力
するとか・・・。
76 :
名無しさん@お腹いっぱい。:2001/07/18(水) 13:58 ID:IiBzwOm6
>>74 必要性を感じないなら必要なし。
複数のHTTPセッションに渡ってクライアント情報を維持したいときに便利。
>>76 PHP4 でしょ? だったら session_start() するだけて
session_register() した変数をとりこんでくれるんだから
スクリプト側は session ID を意識しなくていいじゃん。
78 :
77:2001/07/18(水) 21:36 ID:???
ああ、そうね。書いてから気づいたよ。
セッション終わっても情報を取っときたいってことね。
PHPのセッションって
セッションタイムアウトってゆー概念がないの?
(ASPにあるよーなやつ)
あげましょう。
あげ。
82 :
ナナシファン:2001/07/30(月) 11:55 ID:gBtO/HQg
>>79 あるよ〜。設定はphp.iniじゃなかったかな?覚えてなくてごめん。
83 :
ほげ:2001/07/30(月) 16:03 ID:???
>>82 消える確率とか設定あったよね。どうしてランダムなのか理解に苦しんだ。
セッション管理って大丈夫?
二つのページを同時にアクセスした場合とかどうよ
セッション情報に「前のページ」とか残して、
それを信用して組んだりできないよね...
>>84 >二つのページを同時にアクセスした場合とかどうよ
二つは別セッションになるんじゃないの?
>>84 >セッション情報に「前のページ」とか残して、
>それを信用して組んだりできないよね...
セッション管理が大丈夫かどうかとは関係ない気が
>>85 それは、IEでなんか設定したときだけじゃない?
87 :
名無しさん@お腹いっぱい。:2001/08/04(土) 13:47 ID:DQ4jThjY
クッキーに関しての質問です。
クッキーに配列を保存できますかね?
例えば、
$data=array(
"a" => "hoge1",
"b" => "hoge2"
);
SetCookie("hogehoge", $data);
こんな感じで$data配列を作成しクッキーに保存して、
$c_data=$HTTP_COOKIE_VARS["hogehoge"];
で、データを呼び出して
echo"$c_data[a]";
で出力できるようにしたいのですが、
なかなかうまくいかないです。
>>87 こんなスレに書いても、セッション使えで終わると思うが。
再びスレ違い?
89 :
電動ナナシ:2001/08/04(土) 18:06 ID:yWM3EPUw
90 :
85:2001/08/07(火) 15:59 ID:???
>>86 >それは、IEでなんか設定したときだけじゃない?
(・∀・)?
>>90 クッキーの寿命の話ね。
ひとつのブラウザで1つのセッションになる。
IEは、設定すればウィンドウごとに別セッションになる。
セッションで「前のページ」を保存って話題だから、パラメータでセッション変数渡すことは考えてない。
そんときはパラメータに前ページ情報つければなにも問題ないから。
92 :
名無しさん@お腹いっぱい。:2001/08/10(金) 14:12 ID:RmKi09oM
>>91 >IEは、設定すればウィンドウごとに別セッションになる。
どうやってすんの?
インターネットオプションで変更するの
94 :
名無しさん@お腹いっぱい。:2001/08/10(金) 14:26 ID:RmKi09oM
95 :
名無しさん@お腹いっぱい。:01/11/07 01:49 ID:xHkACnav
そろそろ
>>61について教えて欲しかったり。
age
96 :
名無しさん@お腹いっぱい。:01/11/07 02:15 ID:WNbh62gs
ん?
クロスサイトスクリプティングでしょ?
97 :
95:01/11/07 02:29 ID:xHkACnav
>>96 あーホントだ、よく見りゃそうだ。どうもありがd
これで安心して眠れるぞヽ(´ー`)ノ
98 :
名無しさん@お腹いっぱい。:01/11/08 22:15 ID:BR2wW00P
PHP4のセッション初めてつかたけど、
/tmpにセッションごとの変数の値ががんがんたまってます。
もういいやと思ったあたりで消すしかないんでしょうか?
99 :
名無しさん@お腹いっぱい。:01/11/16 10:07 ID:dtqn0qNF
ガーベジコレクションで消えてくんじゃない?
溜まってるっつってんだろが! ワラ
俺は、php.iniでsession.save_pathを/var/tmp/phpにしておき、cronで
/var/tmp/php以下を掃除するようにしてる。
103 :
101:01/11/18 06:25 ID:???
>>102 gcで消えることが多いんだけど、消えてないこともあるぞ。
>>101 session.gc_probabilityでGCの開始確率指定かえてみたら?
105 :
101:01/11/18 21:08 ID:???
うげ、session.gc_probabilityのマニュアルを良く読むと、in percentって書
いてある。デフォルトは1.0じゃなくて1%ってことだったのカー。
逝ってくる。
106 :
z:01/11/21 00:38 ID:???
php3国際版を使ってんだけど、id&pass を hidden で渡してるのはやっぱ気持ち悪い。
早いとこ php4に行きたいなぁ。
ところで、php4のセッション管理って、クラスのインスタンスを
保存できないのだよね? スカラー変数と配列のみ??
インスタンスが保存できればうれしいんだけどな。
>>106 クラスのインスタンスもセッション登録は可能です。
メンバのみでメソッドはセッションに保存されないけどね
詳細はマニュアルをみれ
106はマルチだったのか
109 :
98:01/11/23 14:24 ID:w+gD3nN+
110 :
名無しさん@お腹いっぱい。:01/11/27 16:01 ID:cyjl29qD
PHP4でのセッション管理なんですが、
PHP4標準のセッション機能とPHPLIBでのセッション機能、
みなさんどちらを使用されていますか?
どちらを使用しようか迷ってます。
111 :
age:02/01/09 12:58 ID:13jpWnyp
age
age
「セキュリティホール memo メーリングリスト」で
Apache::Session (Perl モジュール) の話が出てるね。
114 :
113:02/01/15 09:58 ID:???
WebObjects使えば、Session管理は自動。管理そのものに頭を悩ます必要ないです。
そのSession内でやりたいことを記述することに集中できますよ。
PHPもいいですけど、WebObjectsは比較になりませんでした。
セッション管理、してる?
結局のところ、session管理にはcookieは使うべきなのだろうか。
クロスサイトスクリプティング等の問題もあるけど。
セッションIDをURLで持たせて行くのは怖いような気がするんですが、みんなはどうやってる?
くき。
$_SESSION変数を使うえば透過的に処理してくれそうなんだけど、
使ってる人居る?
120 :
age:02/06/20 21:08 ID:iXAPSXQ3
ブラウザを完全に閉じると消える一時的cookieですが、
Proxyサーバーを通している場合、
クライアントがブラウザを閉じてもCookieがProxyサーバーに残りますか?
>>115 WebObjectsは反則です。あれはVBでWinアプリ作ってる感覚になっちゃいます。
122 :
nobodyさん:02/07/24 21:42 ID:sfTx1osq
Perl の CGI::Session::DB_File 使ってるんですが、
ロックファイルはどうやって削除するのがイイんで
しょうか? delete() した後も残りますよね。
Apache::Session::Lock::File だと clean() がある
んだけど… (でもバグってる)
123 :
山崎渉:03/01/15 13:51 ID:???
(^^)
124 :
nobodyさん:03/03/09 16:41 ID:xF/AergB
複数ページにまたがるアンケートで
URL埋め込みやhiddenを使ってページ間で値を渡してます
URL埋め込みの場合ですが、直打ちで任意のページを表示できてしまうので
アンケートの解答中にふとしたはずみで
直にページに飛んでしまい、解答済みのデータが飛ぶかもしれないと
PATH_INFOを使って判別してるのですが
PATH_INFOは間違った情報を返したりすることはないんでしょうか?
リファは結構ふっとんだりしてくれるので
似たようなことが起こるかと心配で…
漏れもhidden良く使うかも。
126 :
nobodyさん:03/03/12 17:37 ID:UYTsxMQD
127 :
山崎渉:03/03/13 16:59 ID:???
(^^)
>>126 おれも使ってる。正月にリニューアルしてwebを2台構成にした。
DBは後ろのネットワークに下げて両方から繋いでる。
www1.hoge.com
www2.hoge.com
の構成でも使えてるヨ。
130 :
nobodyさん:03/03/15 01:14 ID:Sqe0b8Ey
セッション:負け組
クッキー:勝ち組
131 :
nobodyさん:03/03/15 18:03 ID:YPCssbUz
POSTメソッドを利用して入力フォームからPHPでPostgreSQLにApache経由でデータを登録するプログラムを書いています。
以下のプログラムを冒頭に置くとプログラムの最後の行を示しパーサーエラーで,
停止してしまいます。
session_start();
ob_start("mb_output_handler");
/* データ登録処理 */
if (isset($_POST["sbmt"])) {
/* enctypeがmultipart/form-dataなのでエンコーディング変換 */
while (list($key, $val) = each($_POST)) {
$_SESSION["post"][$key]
= htmlspecialchars(
mb_convert_encoding($val, "EUC-JP", "auto"),
ENT_COMPAT,
"EUC-JP");
}
原因はセッション変数に明示的に変数が設定されていないからでしょうか?
>131
ただの構文エラーだろ
133 :
nobodyさん:03/03/15 18:53 ID:YPCssbUz
>132
サンクス
でも、さっきのプログラムの前に別の関数からデータをセットして
あると動くんだよね
/* セッション変数管理 */
if (!isset($_SESSION["diary_year"])) {
$_SESSION["diary_year"] = date("Y");
}
こんなかんじで
date("Y")って部分は別の関数から定義されてるんだよね
最初にセッション関数が呼び出されたときには、配列の中を空に
しておきたいんですよ、それから簡単なエラーチェックをして
sbmitが実行した時にさっきのプログラムで文字をエンコードしたいよね。
134 :
nobodyさん:03/03/31 23:27 ID:7tNuLEs3
今までのログを読んだけれど、なんとなくしかわかってないので、
質問させてください。
Perlで会員管理のしくみをつくってるのですが、
会員情報を入れてあるCSVファイルに、セッションIDの列をつくる。
IDパスワードを入れてもらってログインに成功した場合、
$year.$month.$day.$hour.$min.$$をcryptしたものを、
会員情報のセッションID列と、クッキーの両方に書き込んで、
以降は、そのセッションIDをクッキーでもらったら、それに該当する会員情報を表示する・・・
これって、問題ないでしょうか?
また、セッションIDを暗号化するという場合、上記のようにサーバ側とクライアント側両方を、
cryptするべきなんでしょうか?
135 :
nobodyさん:03/03/31 23:54 ID:lrdCZ3fP
>>134 やりかた自体はOK。
cryptはCookieのマジックナンバーを生成するために行うもの。
だからクッキーを生成するときに1回だけ行う。
136 :
134:03/04/01 08:35 ID:???
137 :
nobodyさん:03/04/01 08:38 ID:CaQk8w76
135です。
自己レスだが134には問題あった。
会員テーブルにセッションIDフィールドを持たせるのはよくない。
セッションはセッション管理用のテーブルを別にもたせる。
そのテーブルには、
セッションID
ユーザ識別コード
セッション間で引き渡すデータ
セッションの最終アクセス日時
などを入れておく。
138 :
135:03/04/01 23:57 ID:1YIS/hST
>>137 たびたびすみません。
で、正直、
>>137のようにするメリットがわかりません。。。
あと、ユーザ識別コードって、
会員テーブルのユニークな主キー(の外部キー)っていうことですか?
破壊を防ぐ
140 :
nobodyさん:03/04/03 06:17 ID:+kJBCXqS
>>138 ユーザ識別コードはユーザごとのユニークなキー
です。セッション間で値を引き渡すだけの簡単な
管理だけなら不要ですね。ログインして利用する
サイトを作るなら必要になると思いますが。
セッション管理の理論は書いてあっても実装まで具体的に
書かれている本って少ないですから、書籍で勉強する
よりホームページで勉強したほうがいいかもね。
141 :
134:03/04/04 10:45 ID:lpjcObWV
すいません、あとひとつ。
>>137 だと、
もしユーザが「ログアウト」ボタンを押したとき、
クライアントの持ってるクッキーも削除(過去の時間を指定)して、
セッション管理用テーブルから該当レコードを削除すればいいわけですよね?
ただ、ユーザがログアウトボタンを押さずにブラウザを閉じてしまった場合、
該当レコードは削除されないため、レコードがどんどんたまってしまうかと思います。
これは、どうすればいいのでしょう?
ほっとくしかない?あるいは、
どっかのタイミング(そのユーザがまたログインしてきたとき?)に削除するのでしょうか?
あ、そのために「セッションの最終アクセス日時」の列があるのかな?
142 :
nobodyさん:03/04/04 19:30 ID:tuNiAs90
>>141 ふつうはサーバでクーロン動かして定期的に掃除してやる。
143 :
141:03/04/04 22:50 ID:fnHSIfLl
>>142 そっかー。
いまつくってるところ、クーロン使えないんですよね・・・
なら、そのユーザがまたログインしてきたときに、
削除(というか新しいセッションIDに書き換える)
でも、問題とくにないですよね?
144 :
141:03/04/05 02:53 ID:ur80FjBN
($sec, $min, $hour, $mday, $mon, $year,$wday, $yday, $isdst) = localtime(time);
$year += 1900;#気持ちわるいので、一応4桁にしておく
$sessionid = crypt($year.$mon.$mday.$hour.$min.$sec.$$, "AA");
で、セッションIDを取得したのですが、なんかいアクセスしても、
$sessionid = AAwTU6/kNo2jY という文字列になってしまいます。
なぜなんでしょうか
145 :
nobodyさん:03/04/05 05:27 ID:WWynoIxP
>>143 ユーザが再度ログインしたら、前回のそのユーザのセッション
ファイルだけ削除する必要はない。ログインしたらすべての
セッションファイルをチェックして、時間切れになるものをすべて
削除すればOK。
146 :
nobodyさん:03/04/05 08:30 ID:LO75gp9Z
ASP VBScriptでsession変数を使ってセッション管理しようおおもうのですが、
ブラウザがわでクッキー無効にされてる場合ってセッション管理できなくなってしまうのでしょうか?その場合はURLにうめこむとか、HiddenでPOSTするとかで対処するしかないのでしょうか?
147 :
nobodyさん:03/04/05 13:05 ID:Ia1grhBJ
$sessionid = crypt($year.$mon.$mday.$hour.$min.$sec.$$, "AA");
print $sessionid;
・・と、セッションIDを生成してるのですが、
リロードを何度やっても同じ文字列になってしまい、
わけわからん状態です。。。
どうしてなのでしょうか?
crypt って、先頭の何文字かしかみてなかったと思う。
149 :
147:03/04/05 18:50 ID:???
>>148 なーるほど。
調べたら、先頭8文字しか見てないようです
DES(無印) = 8文字
MD5($1$) = 255文字(?)
BlowFish($2$) = ?
>>147 セッションを全く理解していないと思われるので、
まずフローチャート描いてみることをお勧めする。
152 :
山崎渉:03/04/17 12:09 ID:???
(^^)
153 :
山崎渉:03/04/20 06:23 ID:???
∧_∧
( ^^ )< ぬるぽ(^^)
154 :
nobodyさん:03/04/22 07:11 ID:WjOOaJ36
セッション管理しつつ、2重ログイン(複数の人が同じIDでログイン)を禁止
するには、どうすればいいのでしょうか?
155 :
(´д`;)ハァハァ :03/04/22 07:52 ID:dKeQqhoi
>154
「あなたは本当に○○さんですか?」というダイアログを出す。
SSL 使えないならマジこれしかない。
157 :
154:03/04/22 08:12 ID:WjOOaJ36
あ、すいません、訂正
2重ログイン(複数の人が同じIDでログイン)
↓
2重ログイン(複数の人が同じIDで、同時に、ログイン)
>>154 んん? どんなセッション管理の方法を使ってるのかわからんが……。
普通はそんな状況にはならんのではないのか?
IDとセッションを対で運用してる?
一つのIDには一つまでのセッションしかないようにすれば、解決しないか?
>>157 設計しだいだな。ログイン時の IP アドレスを記録しておいて、
同一 ID に対する最終ログイン IP アドレスしか受け付けないように
するしかないか。
A → ログイン (成功)
A → ページ要求 (成功)
B → ログイン (成功)
A → ページ要求 (失敗)
B → ページ要求 (成功)
これは IP アドレスを個人特定のキーに使っているが、ID に対する
初回ログイン時に Cookie を発行して、ID と Cookie を検証するとか
そういう方法しかない。まぁこの話を聞いてピンとこなきゃあきらめれ。
Javaを使っている場合、JMSを使ってみるとか。Sessionオブジェクトを一定期間DBなんかに永続化して
ログイン時に同じオブジェクトが永続化されていればログイン中などの判定を下す…
色々な判定基準があるだろうけど。ちょっと実装が難しいかな。
161 :
154:03/04/24 01:14 ID:Dv9rntoL
>>158 ほんとだ。普通にクッキーと、セッションマスタ.csvをつくってたら、
自然と解決してた。
162 :
nobodyさん:03/04/24 08:35 ID:g+kZcsKr
あのー、(トップ含めて)すべてのページをcgi'perl)にして、
セッション管理してたら、共用サーバだと追い出されます?
164 :
162:03/04/26 19:48 ID:bCd38fy3
>>163 そうなんだ。。。
てっきり、「当たり前だろ」みたいなレスがくるかなと思ってた。
165 :
nobodyさん:03/04/26 20:29 ID:M/JTw+9v
166 :
bloom:03/04/26 20:29 ID:4lzrogLr
167 :
nobodyさん:03/05/10 21:17 ID:NHls6sVf
age
168 :
nobodyさん:03/05/10 21:48 ID:1U30OwKY
169 :
nobodyさん:03/05/22 01:04 ID:Ql5nBZ7C
perlとクッキーで強引につくってしまったが重いー
170 :
動画直リン:03/05/22 01:08 ID:x2YZ4VCE
171 :
山崎渉:03/05/22 01:55 ID:???
━―━―━―━―━―━―━―━―━[JR山崎駅(^^)]━―━―━―━―━―━―━―━―━―
172 :
山崎渉:03/05/28 17:22 ID:???
∧_∧
ピュ.ー ( ^^ ) <これからも僕を応援して下さいね(^^)。
=〔~∪ ̄ ̄〕
= ◎――◎ 山崎渉
__∧_∧_
|( ^^ )| <寝るぽ(^^)
|\⌒⌒⌒\
\ |⌒⌒⌒~| 山崎渉
~ ̄ ̄ ̄ ̄
174 :
nobodyさん:03/07/20 19:23 ID:H04Zp+KF
申込フォームがたくさんあるサイトを構築していて、
申込フォームが2,3ページまたがるページが多いとする。
(申込1->申込2->確認->完了のような)
この場合、その申込フォーム毎にsessionで
パラメータ受け渡しするのって割と普通にやるもん?
hiddenで持ちまわしてもいいんだけど、
入力不備があって前のページに戻したい時
入力されたパラメータを維持させた状態で前のページに戻そうとすると
LocationだとGETで渡すしかなくて、それだとURLに出てしまう。
sessionでやれるんであればそのページ自体にPOSTして
入力チェックもそのページ内のコードで完結できて
あとはLocationで飛ばせばすむ。
申込フォーム毎にセッション作るっておかしい?
それくらいhiddenでやるべき?
マジレスきぼん。
>>174 ある程度の信頼性が求められる場面では、サーバ側にセッション変数保存するのが鉄則。
∧_∧
( ^^ )< ぬるぽ(^^)
178 :
nobodyさん:03/09/04 01:42 ID:wD/9gEl4
PHPのsession.gc_probabilityって変更してます?
179 :
nobodyさん:03/09/04 16:49 ID:i0S65Zr2
ヤフーのIDってどうやってブラウザーで
セッション情報保持してんの?
クッキーすててもログアウトするまでID残ってんだけど・・・
誰か知らない??
>>179 ブラウザがメモリにクッキー持ってるのでは?
182 :
nobodyさん:03/09/10 23:46 ID:xZuE4Q/q
ファイルとしてのクッキーは捨ててもメモリーには
残るんですね・・・・・・
レンタルサーバーにショッピングサイトを作りたいのですが
↓みたいなのでいいと思いますか?
使用可能な環境
SSL CGI SQLDB
ログイン画面→画面1→画面2→画面3
(全部SSL)
1.ログイン画面でID・パスワードを入れる
SQLDBと比較してOK
2.セッションIDを生成しクッキー作成(期限無効メモリー内)
サーバー上のセッションIDファイルへ追加
3.画面2→画面3へ移るたびにクッキーの
セッションIDとサーバーのセッションIDファイルを
比較してチェック
今迷っているのはセッションIDをどう生成するかです。
また、画面移動するたびにチェックが必要なのでしょうか。
みなさんはどうしていますか?
PHP4やクッキーでいろいろセッション管理調べて
試したけど、どれも一長一短でいまいち。
そこで、ふと思いついたんだけど
セッションIDなんて使うから危険?
単純に hidden + POST(GETはダメ) + SSL(必須) で
ID+パスワードをパラメータで毎回送って
全ページで認証すればいいような。
PHP使おうが、クッキー使おうがどっちみち
セッションIDの認証は全ページしないといけない
事を考えるとレスポンス自体もそんなにかわらない
ような気がするし、セキュリティーの
観点から見ても結構いいと思うけど
どうでしょうか。
なによりも
携帯端末でもこの仕組みなら問題ないしね。
アホか・・・
>>186 じゃオマエのアホじゃない方法を述べてみろ
そして、どこがアホかも述べろ
アホ
188 :
nobodyさん:04/01/31 14:44 ID:3hbTQvCa
どなたか、セッション管理について分かりやすく書かれているサイトを教えてくださいませんか
>>185 セッションIDが何かわかってないな・・
191 :
nobodyさん:04/02/01 11:38 ID:WI3J2wo7
クッキー吐き出さん、携帯端末でブラウザとサーバー間で行う
セッション管理のような真似はできまつか...
192 :
:04/02/01 11:41 ID:???
>1
当時はPearのSessionライブラリも無かったのか。
194 :
nobodyさん:04/02/01 11:59 ID:WI3J2wo7
>>193 どんなテクニックで行うのか教えてもらえませんか、参考になるURLでもいいでつ
よろぴく。
質問の仕方を覚えたらまた来てくれ。
196 :
nobodyさん:04/02/01 23:33 ID:+Nypdzo/
ASPのsession管理ってcookieオフってると使えないのですか?
PHPは?
javaもcookie使ってるの?
>>194 たとえばJavaServletなら、response.encodeURL("URL")で、クッキー使わないことが可能
>>196 同じく
マニュアルくらい読めよカスども
ログを読まずに同じ質問でループさせるカスも終了してほしい。
200 :
nobodyさん:04/02/03 20:12 ID:lxZMOySb
どうでもいいけどこの板人少ないね
>>185 セッションIDの認証は全ページしないといけない
何で全ページで認証させるの?
セッションIDの意味ないじゃん
セクース相手をセショ-ン管理できますか?
いろんな店に行ってるので、どこ娘とやったのか覚えきらんのです。
だから、無期限の cookie を発行してセショ-ン管理したいなと。
セッションってどのぐらいの容量までいいの?
/tmp/sess_???
ファイルに入るんだよね。
DBにした場合フィールド長をどのくらいにしようかと・・・
age
207 :
nobodyさん:2006/02/19(日) 00:45:24 ID:HErML43B
携帯向けセッション管理がわからないです・・・
hidden連れ回しじゃなくURLリライティング?とかでやりたいんですけど
apacheのmod_rewriteとかでいいんでしょうか?
情報お願いします
保守
209 :
nobodyさん:2007/05/21(月) 17:57:45 ID:6xHZsetU
>>2ならこのスレのみんなに理想どおりの彼女ができる
210 :
nobodyさん:2008/07/18(金) 21:53:52 ID:9ZIfrdcC
Perl CGI::Sessionでセッション管理
Cookieからセッションidを読み取れた = Cookieオンである
と判断して間違いないでしょうか?
それとも、Cookieからセッションidを読み取れたが、
Cookieに書き込みができない、という状況も想定するべきですか?
歴史を感じる
適当に過ぎちゃって、今更ちゃんとやろうとすると難しいなw
Perlのセッションの決定版書籍ってないかな。
213 :
山崎 渉:2011/03/29(火) 00:33:24.36 ID:???
∧_∧
( ^^ )< ぬるぽ(^^)
| | ガガガッ
| |
人
∧_∧ < >_∧∩
( ・∀・) 人`Д´)/ ←
>>153 と ) < >_∧∩
Y /ノ .人`Д´)/ ←
>>177 / ) < >_∧∩
_/し' //. V`Д´)/ ←
>>213 (_フ彡 /
あ
俺たち未来から来た。 perlで。
時代が流れ流れて 2014年の perlはこんなかんじになったぞい ちなみにperl自体ですら鯖になるんだぞい
セッション管理とデータベースをバインド ちなロシア製
$self->plugin('session' => {
store => MojoX::Session::Store::Dbi->new(
dbh => DBI->connect('DBI:mysql:MyApp:', 'user', 'pass'),
),
transport => MojoX::Session::Transport::Cookie->new,
expires_delta => 36000,
stash_key => 'mojox-session',
});
# Router
my $r = $self->routes;
# /nurupo にアクセスすると welcome ページを表示
$r->get('/nurupo')->to('example#welcome');
my $logged_in = $r->bridge->to( 'example#login');
## / とか /hogehogeとかにアクセスしようとすると ログインしてないと ログイン画面に戻る セッション?そんなもん意識したら負け
$logged_in->get('/')->to( 'example#welcome');
$logged_in->get('/hogehoge')->to( 'example#hoegehoe');
ぬるぽ
あけおめ