2

Прошу помощи в связи с возникшей проблемой.

Задача: стартовать сессию только для прошедших аутентификацию с помощью конструкции if (isset($_REQUEST[session_name()])) session_start();

Проблема: после авторизации страница, на которую осуществляется переход, не получает значение $_REQUEST[session_name()]. Точнее говоря, его можно установить только принудительно передав:

$s=session_id();
echo '<a href="/?PHPSESSID=$s">На главную</a>;

Но даже после этого следующая страница, на которую осуществляется переход, опять не видит $_REQUEST[session_name()] с установленным значением.

Вопрос: что можно сделать, чтобы $_REQUEST[session_name()] получал значение без принудительного присвоения вышеописанным способом?

Установкой session.use_cookies = 1 и session.use_trans_sid = 1 (или 0) в php.ini ни на что повлиять не удалось, как и установкой request_order = “GPС” , описанной в статье http://diz-blog.com.ua/request-session-name-empty-what-do.html

2
  • Жесть...ну нельзя же вытворять такое.... <a href="/?PHPSESSID=$s"> ...элементарные правила безопасности как-никак, которые просто обязаны соблюдаться при разработке.
    – AseN
    4 янв 2015 в 22:56
  • Да знаю я... Проблема в том, что не могу передать значение иначе, потому и спрашиваю совета, почему оно может не передаваться.
    – 118_64
    4 янв 2015 в 23:31

3 ответа 3

2

Забудьте про передачу сессии в параметрах запроса!
Зная ссылку с сессией (а её сам пользователь может скинуть по неосторожности), любой человек сможет совершать действия от имени этого пользователя.

Лучше почитайте про сессии на оф. сайте https://php.net/manual/ru/intro.session.php

P.S. Есть замечательная суперглобальная переменная $_SESSION, которая позволяет работать с данными в сессии.

1
  • Я так и не смог добиться видимости значения REQUEST[session_name()] и запуска сессии с помощью конструкции if (isset($_REQUEST[session_name()])) session_start(); Но видны cookie, установленные при авторизации и работает запуск сессии в такой конструкции if (isset($_COOKIE)) session_start(); Является ли это полноценной рабочей заменой для запуска сессии только для прошедших аутентификацию пользователей?
    – 118_64
    6 янв 2015 в 11:02
1

Замените if (isset($_REQUEST[session_name()])) session_start(); на if ($_COOKIE[session_name()]) session_start();.

1
1

Судя по давности вопроса, автор уже разобрался.. Но кому-то может пригодиться. @movak744 прав, $_COOKIE[session_name()] или, на крайний случай, $_GET[session_name()]

P.S. Есть замечательная суперглобальная переменная $_SESSION, которая позволяет работать с данными в сессии.

Шикарный ответ, учитывая, что до старта механизма сессии этот массив будет пустым

Ваш ответ

Нажимая на кнопку «Отправить ответ», вы соглашаетесь с нашими пользовательским соглашением, политикой конфиденциальности и политикой о куки

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.