私はクッキーを注射から守るべきでしょうか？

Question

私は自分のヘッダにこのスクリプトを持っている：

if (isset($_COOKIE['username'])) {$_SESSION['username'] = $_COOKIE['username'];} 
if (isset($_COOKIE['is_logged_in'])) {$_SESSION['is_logged_in'] = $_COOKIE['is_logged_in'];} 

私は注射から私のクッキーを守るべきでしょうか？ のようなストライプスラッシュなどです。

Answer 1

まず、認証システムを再考する必要があります。現在のところ、どのようにクッキーを変更するかを知っている人なら、proper authenticationを使わなくても、どのユーザーにもなりすますことができます。これが、実際のセキュリティ上の欠陥である。

注射による脆弱性は、実際の状況に応じて値が挿入されるかどうかにかかわらず、情報が提供されるため、私たちは手伝ってくれません。

Answer 2

必要に応じて入力してください。ユーザー名をHTMLページに出力する場合は、htmlentities($_COOKIE['username'])を使用します。データベースのユーザー名を確認する場合は、mysql_real_escape_string($_COOKIE['username'])または準備済みのステートメントを使用します。

ユーザーがCookieを変更できることはご存知ですか？ usernameのCookieを「Admin」に設定し、is_logged_inのCookieを「true」に設定するとどうなりますか？