0

PHPの初心者です。

-質問その1-
私の対応しようとしている方針が、一般的なことか教えてください。そうでない場合、例を示して頂けると非常に助かります。

【採用しようとしている方針】
1.ログイン画面を用意し、予め登録されたログインID・PWであり、『相応の認証が達成できた場合のみ』
遷移先画面で利用していくため、このログインIDを、クッキー変数に格納(8時間有効)
また、相応の認証が達成できた場合のみheder関数で、次画面へ遷移。(formのactionは自身を指定)

2.遷移先画面で、先のクッキー変数の内容を取得できれば、当該画面の処理を継続。取得できない場合は上記1.のログイン画面へ遷移させてしまう。尚、この画面からその他画面への遷移も行えるシステム構成を検討。全画面にて、クッキーからのログインID取得(=前回ログインから8時間以上経過していないこと)が達成されなければ1.のログイン画面へ遷移させてしまう。

3.セッション変数の有効期限を変えたり、タグ内にhiddenで記述するのも(ブラウザのソース表示で見える??)、違和感を感じてクッキーが良いのかな??と思いました。

-質問その2-
上記のクッキーを利用した方針を前提に、インターネットの記事を読んでいると、setcookie関数の利用はHTML記述前、という記事ばかりを目にします。
私がやろうとしていることは、ログオン認証が達成できた場合にのみsetcookie関数を動作させることになるので、達成できないような気がして非常に混乱しています。
私の採用しようとしてる方針があながち間違いでない場合、どのように対応すればよろしいのでしょうか?

皆様のご支援をお待ち申しあげております、よろしくお願い致します。

2 件の回答 2

1

そもそもCookieとはサーバーからの読み書きだけでなく、ブラウザ、あるいはその他HTTPクライアントから任意に設定してリクエストに載せることが出来ます。

質問文を読む限りではCookieに平文でユーザーのIDを置こうと言うのでしょうか、もしそうであればユーザーIDが分かれば誰でもそのユーザーを偽ってアクセスできてしまいます。非常に危険です。また、これは安全ではないストレージの一種です。

セッション変数〜と仰っているのでSessionの存在は認識されているようですが、この呼び方はPHPのセッションの認識をかえって難しくするかもしれません……

さておき、PHPのセッションは一般的にCookieを利用します。Cookieに記録されるのは「セッションID」です。サーバーはブラウザから送られたセッションIDを基にセッションを読み込みます。セッションはサーバー上に存在し、ユーザーが直接アクセスすることはできないので「比較的安全なストレージ」です。セッションハイジャックされれば元も子もありませんが、少なくとも浅はかな考えで甘すぎるログイン認証をCookieを直接使って作ることに比べればセッションを活用したほうが幾分マシでしょう。

セッションは有効期限を切れても残っていたり、あるいは(多分特殊なケースですが)期限前に消えてしまうかもしれません。前者について厳密に設定したいならばセッション内に有効期限、あるいは最終利用時を記録しておいて、それを基にアクセス時に判定させればいいのでは。


なお、setcookieがHTML以前〜というのはsetcookieはヘッダーなのでHTTPのbodyを返す前に送出する必要があるということです。単純には

<?php
if(認証ok) {
  setcookie(……);
}
?><!doctype html>
<html>
...

のようになればいいだけです。

4
  • hinaloe様 貴重なご見解をありがとうございます。ログインの定番のIDとPWによる認証はDBを利用予定です。これをクリアした=ログインできたログインIDを遷移されていく画面でどう共有できるか、という方向の質問でした。私の問い合わせ方が間違っていた気がします。すみません。また、どの記事をみても、ページのソース1行目でsetcookie関数を利用していたことで、こうである必要があるのかと、間違った解釈をしていました。 仰られるようにPHPの中でのセッションの概念が正確に理解できていないのかも知れません。引き続き研究したいと思います。
    – saya24
    2017年10月17日 7:03
  • 引き続きご教示を頂けましたら幸いです。 <<qiita.com/7968/items/ce03feb17c8eaa6e4672>>の記事を参考に、セッション側での保管を検討しています。 これに絡み質問を追記しました。 問①:URLの記事中、クライアントからのリクエストに「保存しているCookieの情報も送信」という記載がありました。 これは、当該クライントが有すクッキー全てを、どこのサイトにも送信してしまう、という意味もあるのでしょうか? 各Cookieが、「どこのサイト向けに送信OK」となっていないの?と思ったわけで。 SetCookieを実施したサイトにのみ(&ドメイン属性に追記されたサイト)送信されるのか否かを知りたいです。 自分の解釈ですと、PHPではCookieにセッションIDが保管される、 またその用途のCookieの名前は、サイト供給者が特段変更しない限り固定の名前である(一応遭えて伏せた)、と受けて取れたので この名前の変更必要性の材料としたく。 問②:変えることが常識でしょうか? 問③:上記問①の回答次第ですが、イントラネットで使われるWebシステムで保管されたクッキーが、当該クライアント端末がインターネットに接続した際 世間のサイトにバラまかれている、なんてことはあり得るのでしょうか?(聞くのも怖いくらい)
    – saya24
    2017年10月29日 13:44
  • 追加の質問については質問の方に追記いただければと思います。その後私も回答に追記いたしますので、追記の後にコメント指定だければ。
    – hinaloe
    2017年10月29日 14:13
  • 了解しました、すみません。少々お待ちください
    – saya24
    2017年10月29日 14:15
0

遷移先画面で利用していくため、このログインIDを、クッキー変数に格納(8時間有効)

この時点で良くないことはすでについている回答の通りです。

そもそも、ベタなPHPで「Hello world」以上のプログラムを作ろうとすると簡単に脆弱性を作り込んでしまいますし、認証を安全に実装するのはまず不可能です。

Webアプリケーションフレームワークを使うと、認証や基本的なセキュリティをライブラリに任せることができるので、それを使ってアプリを作ることをおすすめします。

1
  • suzukis様 ご見解をありがとうございます。認識は共有できていたのですね。その上での見解でしたか。....ショック  例えばCakePHPやsymfonyのことですかね? 本当に始めてまもなくて とんちんかんな事ばかり申してすみません。
    – saya24
    2017年10月17日 8:29

この質問に回答するには、ログインする必要があります。

求めていた回答ではありませんか? のタグが付いた他の質問を参照する。