[PHP-users 601] Re: セッション情報の漏洩を防ぐ方法

Nakamura Kazuto php-users@php.gr.jp
Fri, 06 Jul 2001 14:39:37 +0900


中村です。

新開連三 さんは書きました:
>お世話になります、新開と申します。

>セッション情報をDBに保存すれば、そのような心配はないかと思います
>が、サーバを共同運用し、かつ、ファイルに保存している場合、
>セッション情報を他人から読みとられないようにするには、どうすれば
>よろしいのでしょうか。

サーバをいわゆるvirtualの状態で運用する場合、phpを用いている限り
情報を隠すことは現状では出来ないと思います。これから先、phpが
suExec に対応するか否かではないかと。

db に格納した場合でも変わらないと思います。php を動かすユーザが
nobody である限りは。

db の使用容量制限も出来ない事などを含めて、私がお客様に説明する
時には(セキュリティ上好ましくないので)単独サーバをお薦めしています。

--
中村  和人  kazuto@sainet.or.jp