Iniezione di sessione?

Question

Come dovrei ospitare l'id dell'utente nella sessione? solo per inserire l'id? Voglio dire (per esempio):

$_SESSION['id'] = 1; 

Non c'è un modo per cambiarlo dall'utente stesso (come cookie ..)? Perché se così fosse, può passare a qualsiasi ID.

Un'altra domanda a riguardo: come posso verificare se l'utente ha effettuato l'accesso (con sessioni)? Ho creato una sessione:

$_SESSION['is_logged_in'] = true; 

Anche in questo caso, non è in grado l'utente basta creare una sessione che il suo nome è 'is_logged_in' e il suo valore è vero? o solo il server ha un controllo sul valore del server?

Answer 1

Tutte le variabili di sessione in PHP vengono memorizzate sul lato server. Il client memorizza un cookie che fa riferimento a quale sessione deve essere utilizzata, quindi il server cerca i valori per la sessione. È sicuro memorizzare is_logged_in nella sessione e l'id utente.

Quello che dovresti sapere è se un altro utente ottiene una sospensione del cookie di sessione di un altro utente, sarà in grado di imitare quell'utente fino a quando la sessione scadrà. Una soluzione semplice è collegare le sessioni agli IP.