PHPはウェブページを保護するのに十分な$ _SESSIONですか？

Question

私は、ユーザーが特別な機能を操作できるようにログインする必要のある簡単なサービスを実行しています。

私のMySQLデータベースには、username,passwordおよびuser_idが格納されています。

ユーザーがログインしたいときは、profile.phpに投稿されたユーザー名とパスワードを入力する必要があります。

profile.phpは簡単なチェックを行います。その瞬間から

// Sanity Check 
if(empty($_POST['smart_email'])|| empty($_POST['smart_password'])) 
{ 

    echo 'Sorry, wrong login/passwd'; 
    exit; 
} 
else 
{ 
    // 
    $smart_email = $_POST['smart_email']; 
    $smart_password=$_POST['smart_password']; 

    // Check if registerd and password matches 
    if(DB_IsAuthorized($smart_email, $smart_password) == true) 
    { 
     // Obtain proper UserID from the database 
     $UserID    = DB_GetId($smart_email); 

     // set the session user_id variable 
     $_SESSION['user_id'] = $UserID; 


     // 
     // Display the User profile page 
     // 
    } 

} 

を、ユーザ関連あるすべてのページには、このユーザーがログインしたかどうかを調べるために$_SESSIONにuser_idセットのチェックを持っており、認可されています。

if (isset($_SESSION['user_id']) && is_numeric($_SESSION['user_id']) && $_SESSION['user_id']>0) 
{ 
    // USER IS LOGGED IN 
} 

質問です：ユーザーがNON LOGGEDからページを確保するのに十分な、この$_SESSION['user_id']チェックですか？

Answer 1

この質問は広すぎますが、簡単な答えはです。です。

まず、ファイアウォールやその他の必要なセキュリティツールを使用してハッカーからユーザーを保護するためにhttpsが必要です。

第二に、あなたは拡張子を変更するためにhtaccessファイルを使用する必要があるが、代わりの.php

のショーユーザーの.htmlを言う第三に、セッションがハッカーによって簡単にハイジャックすることができます。したがって、プレーンテキストではなく暗号化されたセッション値を常に保存してください。

世話をするにはさらに多くの問題がありますが、複雑すぎると広いです。