セキュアな値を設定する前または後でセッションIDを再生成

Question

これは、正確にsession_regenerate_id()を呼び出すときの非常に具体的な質問です。セキュアな値をセッションに設定する前または後にsession_regenerate_id()を呼び出す間に違いまたはセキュリティ上のリスクはありますか。彼らが効果的に同じです

if ($login_success) { 

    $_SESSION['login_status'] = 'logged_in'; 
    session_regenerate_id(true); 

} 

Answer 1

これはどのように動作するのですか？session_regenerate_id()は、セッションIDを作成して変更し、セッションを新しいファイルに転送し、Cookieを送信します。引き数としてtrueを引き渡すと、古いセッションファイルも削除されますが、引き数は省略されます。

だから、あなたが使用するかどうか

session_regenerate_id(true); 
$_SESSION['login_status'] = 'logged_in'; 

または

$_SESSION['login_status'] = 'logged_in'; 
session_regenerate_id(true); 

それは同じである：情報は新しいファイルに書き換えられ、クッキーが送信されます。私は古いセッションハイジャックを避けるために、いつでも引数としてtrueを使用することをお勧めします。

Answer 2

;：

if ($login_success) { 

    session_regenerate_id(true); 
    $_SESSION['login_status'] = 'logged_in'; 

} 

またはセッションで値を設定した後：値を設定する前に

セッション情報は実際にはsession_write_close（）を呼び出すとき（またはスクリプトが終了したときに暗黙的に）永続化されます。したがって、古いIDのデータは永続化されませんでした。