自動セッション開始のためのセッションIDを追加する

Question

このようなことが可能かどうかはわかりませんが、特定のエンドユーザーにとってサイトをより簡単にする必要があると言われました。

現時点では、ユーザーがテキストボックスに入力するセッション変数を保存しています。彼らの有効な入力で、彼らのセッションが作成され、彼らはサイトの通常のエンドユーザーより少し多くの機能を得る。

誰かのセッション変数をURLの末尾に追加する方法があるのか​​どうか疑問に思っていました。こうすることで、クライアントの1人にメールを送り、クリックしてセッションが自動的に開始されます。

すでにコードを入力するテキストボックスがありますが、ユーザーがセッションを開始するリンクをクリックするだけで簡単にできると言われました。

これが意味をなさない場合は、私にお知らせください。私はそれをより良く説明しようとします。

Answer 1

デフォルトでは、セッションの状態を維持するために専用のシステムリソースを節約するために、セキュリティ上の理由からセッションが期限切れになります（20分後）。

認証をバイパスできるURLを指定すると、セキュリティホールが開かれます。利益がリスクを上回るかどうかは、あなたとあなたの会社が決定します。 URLを見ている人（たとえ無線通信を聞いている人さえも）が後でそのURLを使用してアクセスできることを覚えておいてください。

このルートに移動する場合は、ユーザーのアカウントに関連付けられたGUIDのようなものを追加することができます。インバウンドURLにGUIDを持つ適切なパラメータが含まれている場合は、GUIDからユーザーアカウントを検索してみます。 GUIDを見つけたら、そのユーザーの新しいセッションを作成します。

この場合も、セキュリティ上の大きなリスクがあります。特別なURLを持つ人は誰でも実際のユーザーとして行動できます。続行する前に、あなたとあなたの会社がそれを完全に理解していることを確認してください

特別なGUIDを使用して作成されたセッションのIPアドレスを記録することを検討し、少なくとも悪用のパターンを検出できるようにしてください。ユーザーが固定IPアドレス（通常、イントラネットアプリケーションの場合など）からシステムに通常アクセスする場合は、そのIPアドレスに対して特別なGUIDを使用する機能をロックすることを検討することがあります。それらがシステムにアクセスする場合、例えば、別のIPを持つ自宅から、代わりにログインページに送信してください。