세션 수정 사용 안 함 (PHP)

Question

다른 개발자와 함께 응용 프로그램을 코딩하고 있습니다. 유용한 "세션"키가 변경되지 않도록 보호하려고합니다.

는 예를 들어, 연결 경우 경우 : 일부 개발자는 단지 예를 들어, $_SESSION['can_access_to_all'] = '1';을 변경할 수 있습니다

$_SESSION['can_access_to_all'] = '0'; 

. 하지만 $_SESSION['can_access_to_all']이 변경되지 않도록하려면 어떻게해야합니까? 해결책이 있습니까?

Answer 1

그런 일은 할 수 없습니다. 그리고 당신이해야하는 이유가 정말로 없습니다.

Answer 2

또는 세션을 조작하는 클래스를 만들 수 있습니다. getter와 setter를 만들고, can_access_to_all인지 확인하고 싶다면 수정할 필요가 없습니다.

<?php 
class Session { 
    public function __set($name, $value) { 
     if ($name != 'can_access_to_all') 
      $_SESSION[$name] = $value; 
    } 

    public function __get($name) { 
     if (isset($_SESSION[$name])) 
      return $_SESSION[$name]; 
     return null; 
    } 
} 
?> 

Answer 3

마이클의 말은 정확합니다. 완전히 막을 수는 없습니다. 실수를 막기 위해 래스터를 사용하여 일부 바의 변경을 방지 할 수 있습니다. EG :

function setSession($k, $v) { 
    if ($k!='can_access_to_all') 
    $_SESSION[$k] = $v; 
} 

그러나 개발자가 래퍼를 사용하지 않고 세션을 직접 변경할 수 있습니다.

당신이 할 수있는 또 다른 일은 끝에 모든 고정 세션을 다시 원래 위치로 설정하는 끝에 포함을 추가하는 것입니다.

//do stuff 
//include restoresession.inc 

및 restoresession.inc에서

$_SESSION['can_access_to_all'] = 0 

이제 그들은 여전히 ​​현재 페이지를 변경할 수 있지만에 그것이 있어야한다 무엇으로 재설정됩니다 리디렉션 할 수 있습니다.

하지만 가장 중요한 질문은 개발자가 특정 파일/설정을 손댈 수없는 이유는 무엇입니까? 클래스와 세션 // UPDATE

, 최고의 당신이 실제로 사용 클래스에 대한 액세스와 세터

class MySettings 
{ 
    private $can_access_to_all; 

    /** 
    * Construct 
    */ 
    final public function __construct() 
    { 
     //remove if not needed, or use it to make 
     $this->can_access_to_all = 0; 
    } 

    /** 
    * handle requests 
    */ 
    final public function __get($prop) { 
     return $this->$prop; 
    } 

    /** 
    * Prevent setting of properties 
    */ 
    final public function __set($prop, $val) { 
     trigger_error("Property cannot be set directly"); 
    } 
} 

$_SESSION['MySettings'] = new MySettings(); 

Answer 4

당신 크립트 또는 세션 값을 등록 할 수 있습니다를 방지 할 수 있습니다. 하지만 귀하의 crypt algo가 코드에 포함되어 있으므로 개발자가이 클래스에 대한 모든 액세스 권한을 갖고 있거나 (어떤 클래스/메소드가 비밀 세션에서 작동하는지 알면) 작동하지 않습니다.