ServerSideセッションは安全ですか？

Question

私は$ _SESSION変数を信頼することができますか、ユーザーがサーバーへのアクセスを取得していない場合、私は書いているアプリケーションで（サーバー側ではなくクッキーではない）セッションを使用していますか？


注：
私は私のデータベースにクエリの数を制限しようとしている。現在、私はすべてのページのロードのデータを検証しています、と私は」、私はおそらくクエリをなくすことができることを考え、私は100％確実にしたいです。

Answer 1

はい、セッションに安全に保存できます。 Validationメソッドが安全であることを確認する必要があります。 （セッションに保存する前に使用する方法）。

Answer 2

セッションが安全な場所に保存されていることを確認するだけです。デフォルトでは、セッションはlinuxの/ tmp /のような場所に保存されます。ユーザーがサーバーにアクセスできる場合は、セッション変数を編集できます。

セッションをデータベースに保存したり、セッションにハッシュ計算（md5 +シークレットシード）検証を追加したり、そのハッシュに対してセッション変数が変更されていないことを常に確認してください。