[SimonP]

Ursprungligen postat av robincox

Jag tror egentligen att mina sessioner är ganska säkra eftersom jag slumpar fram nya värden till dem varje gång en sida laddas. Exempelvis:

En admin loggar in, då skapas session['sessionsnamn'] = 'HyhjhH76h6h8JHgh6';
Han eller hon klickar på en länk i menyn, då slumpas det fram ett nytt värde i sessionen, det kan då t.ex. bli session['sessionsnamn'] = 'uih345hno6noUH97';

Så det går inte för en hacker att klura ut vilket värde session['sessionsnamn'] ska ha för att han/hon ska bli inloggad som admin.

Men det stör mig att jag måste ge publika skriv och körrättigheter på mappen som håller sessionerna.

Menar du att du byter session_id()? Det är ok och ökar säkerheten en del, men när du skriver session['sessionsnamn'] så ser det ut som du sätter en sessionvariabel. Att enbart sätta en slumpmässig sessionvariabel skyddar inte mot cookie-stealing (eller liknande sessionsstölder). Det är lika säkert att sätta $_SESSION['sessionsnamn']="ja" som att sätta $_SESSION['sessionsnamn']='uih345hno6noUH97'. Den variabeln som styr Admin-inloggningen ska man aldrig kunna ändra ifrån klientsidan ändå.