キャッシュ機能を強化するためにユーザー名をCookieに保存していますか？

Question

PHP、symfony 1.4、Doctrine、sfGuard

大部分のページを完全なHTMLページとしてキャッシュできるサイトがあります。しかし、ほとんどのサイトの右上に表示される従来の「ユーザーアカウントツールバー」があります（ログインしたユーザー名、ログアウトリンクなどを表示します）。

これは、ページがHTMLとして完全にキャッシュされないようにしますページを標準HTMLとして出力し、ページロード後のユーザ名などにJavascriptを使用して追加します。

ユーザーがログインすると、ユーザー名だけを格納する追加のCookieが作成されます。 JavascriptはCookieが存在するかどうかを確認し、アカウントツールバーを作成します。ユーザー名は表示目的でのみ使用されます。実際にログインするには、パスワードなどを使用して、通常のログインページを通過する必要があります。

私はブログ投稿などを検索しましたが、あまり見つかりませんでした。誰でもこれを使ってセキュリティやその他の懸念事項を特定できますか？

Answer 1

ユーザー名が表示目的でのみ使用されている限り、あなたは金色でなければなりません。 PHPの$ _SESSIONからユーザ名を取得するためにXHRを使用することもできます。

私の懸念は、そのユーザーを認証するためにユーザー名を使用することです。またはユーザー名をキーとしてキャッシュにアクセスします。ユーザー名を変更することで、攻撃者は別のキャッシュにアクセスできます。

Answer 2

クッキーに敏感なものは絶対に保存しないでください。私には、ユーザー名が含まれています。