セッションインジェクション？

Question

セッションでユーザーのIDをどのようにホストする必要がありますか？ IDを挿入するだけですか？私は（例えば）：

$_SESSION['id'] = 1; 

あなた自身で（クッキーとして）変更する方法はありませんか？もしそうなら、彼はどんなidにも変えることができるからです。

もう1つ質問があります。ユーザーが（セッションで）ログインしているかどうかを確認するにはどうすればよいですか？私は、セッションを作成しました：

$_SESSION['is_logged_in'] = true; 

ここでも、ユーザーは、ちょうど彼の名前は「is_logged_in」で、彼の値がtrueのセッションを作成することはできませんか？またはサーバーだけがサーバーの値についての制御を持っていますか？

Answer 1

PHPのすべてのセッション変数は、サーバー側に格納されています。 クライアントは、使用するセッションを参照するCookieを格納し、サーバーはそのセッションの値を検索します。 is_logged_inをセッションに格納しても、ユーザーIDに格納しても安全です。

注意すべきことは、別のユーザーが別のユーザーのセッションCookieを保持している場合、セッションがタイムアウトするまでそのユーザーを真似できることです。 1つの簡単な解決策はセッションをIPにリンクすることです。