Sitemde oturum açmış, kimliğini saklamış bir kullanıcı olsaydı $_SESSIONve tarayıcısından sunucuya AJAX isteği yapacak bir 'Kaydet' düğmesine tıkladı. Onun olacak$_SESSION ve çerezleri bu istekte saklanacak ve içinde bulunan kimliğe güvenle güvenebilir miyim $_SESSION?
Yanıtlar:
Cevap Evet:
Oturumlar sunucu tarafında tutulur. Sunucu ile ilgili olarak, AJAX isteği ile normal sayfa isteği arasında bir fark yoktur. Her ikisi de HTTP isteğidir ve her ikisi de başlıkta aynı şekilde çerez bilgileri içerir.
İstemci tarafından, aynı çerezler, düzenli bir istek veya AJAX isteği olsun, sunucuya her zaman gönderilir. Javascript kodunun özel bir şey yapmasına gerek yoktur, hatta bu durumun farkında olmak için, sadece normal isteklerde olduğu gibi çalışır.
Warning: session_write_close(): Failed to write session data (user)Son zamanlarda bir projede zaman zaman hata alıyorum , ancak yalnızca sayfanın geri kalanının yüklenmesi sırasında AJAX isteği gerçekleştiğinde. Oturum verileri için bir MySQL DB kullanıyorum ve ana sayfa isteği AJAX isteğinin erişmesini önleyerek, bu tablo kilitleme olmasıdır.
PHP dosyasında AJAX istekleri varsa session_start()oturum bilgileri korunur. (isteklerin engellenmesi aynı alan içindedir)
Gerçekten ne elde edersiniz: AJAX isteği ile çerezler gönderiliyor mu? AJAX isteğinin aynı etki alanına (veya çerezin etki alanı kısıtlamaları dahilinde) ait olduğunu varsayarsak, cevap evettir. Böylece aynı sunucuya AJAX istekleri aynı oturum bilgilerini korur (çağrılan komut dosyalarının oturum bilgilerine erişmek isteyen diğer PHP komut dosyalarına göre bir session_start () oluşturduğu varsayılarak).
Her zaman değil. Çerezleri kullanarak iyisiniz. Ancak "mevcut kimliğe güvenli bir şekilde güvenebilir miyim?" Tartışmayı önemli bir nokta ile genişletmeye çağırdı (çoğunlukla referans olarak, bu sayfanın ziyaretçi sayısı oldukça yüksek göründüğü için).
PHP, oturumları çerezler yerine URL yeniden yazma yoluyla sürdürecek şekilde yapılandırılabilir. ( Ne kadar iyi veya kötü (<- örneğin en üste bakınız) ayrı bir soru , şimdi sadece bir yan notla şu anki soruya bakalım: URL tabanlı oturumlarda en belirgin sorun - açık Çıplak oturum kimliğinin görünürlüğü - dahili Ajax çağrılarıyla ilgili bir sorun değildir; ancak sonra, Ajax için açıksa, sitenin geri kalanı için de açılır, bu yüzden orada ...)
URL yeniden yazma (cookieless) oturumlarında, Ajax çağrıları , istek URL'lerinin düzgün bir şekilde hazırlandığına dikkat etmelidir . (Ya da kendi özel çözümünüzü oluşturabilirsiniz. İstemci tarafında , daha az talepkar durumlarda oturumların sürdürülmesine bile başvurabilirsiniz .) Buradaki nokta, çerezleri kullanmıyorsa oturum sürekliliği için gereken açık bakımdır :
Ajax sadece ararsa özü URL'ler (PHP alınan gibi) HTML kelimesi kelimesine zaten pişer gibi, yani sorun olmaz (umm, cookified).
İstek URI'lerini kendileri bir araya getirmeleri gerekiyorsa , oturum kimliğinin URL'ye manuel olarak eklenmesi gerekir. ( Nasıl yapıldığını görmek için burayı veya PHP tarafından oluşturulan sayfa kaynaklarını ( URL yeniden yazma açıkken ) kontrol edin.)
Gönderen OWASP.org :
Etkili bir şekilde, web uygulaması hem mekanizmaları, çerezleri hem de URL parametrelerini kullanabilir veya hatta belirli koşullar karşılanırsa (örneğin, çerez desteği olmayan web istemcilerinin varlığı veya çerezler karşılanmadığında) birinden diğerine geçebilir (otomatik URL yeniden yazma) kullanıcının gizlilik endişeleri nedeniyle kabul edilir).
Bir itibaren Yakut-forum sonrası:
Php çerezleri ile kullanıldığında, oturum kimliği Ajax XMLHttpRequests için bile istek başlıklarına otomatik olarak gönderilir. URL tabanlı php oturumlarını kullanır veya bunlara izin verirseniz, oturum kimliğini her Ajax istek URL'sine eklemeniz gerekir.
AJAX isteklerinin oturum tutmasını istemek çok önemlidir. En kolay örnek, yönetici paneli için bir AJAX isteği yapmaya çalıştığınızdır. Tabii ki, yönetici oturum açtıktan sonra oturumunuz olmayan başkaları tarafından erişilemeyecek şekilde, istekte bulunduğunuz sayfayı koruyacaksınız. Mantıklı?
Özellikle bir çerçeve kullanıyorsanız, dikkat edilmesi gereken bir şey, uygulamanın istekler arasında oturum kimliklerini yeniden oluşturup oluşturmadığını kontrol etmektir. oturum etkilenmeyecektir.
Uygulama bu şekilde oturum kimliklerini yeniden oluşturuyorsa, geçerli bir ajax isteğinin istekte bulunan sayfadaki oturum kimliğini geçersiz kıldığı / değiştirdiği bir durumla karşılaşabilirsiniz.
ajax isteğini kabul eden tüm sunucu tarafı sayfalarında session () yetkinizi koyun:
if(require_once("auth.php")) {
//run json code
}
// do nothing otherwisebu benim şimdiye kadar yaptığım tek yolla ilgili.
HttpOnlybir çerez ayarlarken bir bayrak ayarlayabilir, bu da Javascript'inizin çerezi göremeyeceği anlamına gelir. Ancak çerez olacak hala AJAX ve düzenli sayfa istekleri ikisi için gönderilecek ve tam olarak işe aynı devam ediyor. Javascriptiniz bunu görmeyecekdocument.cookie.