Comment sécuriser passer et définir l'identifiant de session?

Question

J'utilise uploadify et le script (qui utilise adobe flash) crée une nouvelle session au lieu d'utiliser l'actuelle en demandant l'URL de l'action de téléchargement. Pour résoudre ce problème, je dois passer devant l'identifiant de la session.

Existe-t-il un moyen de le faire sans autorisation de fixation de session (piratage)?

Voici quelques détails du problème: Sessions and uploadify

Merci!

Answer 1

Créer une session de téléchargement temporaire dans votre script (non testé, mais vous obtenez le point d'être en mesure d'avoir plusieurs sessions différentes):

<?php 
//normal session 
session_start(); 
//store sessionid for retrieval 
$oldsessionid = session_id(); 
if($_SESSION['logged_in']){ //or however you check for a valid user 
    //stop old/normal session 
    session_write_close(); 
    //create a new sessionname 
    $oldname = session_name('UPLOADSESSION'); 
    //create a new id (fixed here, you might want a random number/char combo: 
    session_id('myuploadsessionid'); 
    //start the session 
    session_start(); 
    $_SESSION['upload'] = true; 
    $uploadid = session_id(); 
    //now you can use `'data: "artist="+$fi+"&UPLOADSESSION="'.$uploadid` in uploadify 
    session_write_close(); 
} 
//return to normal name 
session_name($oldname); 
//set old session id 
session_id($oldsessionid); 
//resume normal session 
session_start(); 

Donc, dans votre script de réception:

<?php 
session_name('UPLOADSESSION'); 
session_id($_POST['UPLOADSESSION']); 
session_start(); 
if(isset($_SESSION['upload']) && $_SESSION['upload']){ 
    //accept files 
    //invalidate session after this upload 
    $_SESSION['upload'] = false; 
} 

L'utilisateur aura toujours 2 cookies, et éventuellement UPLOADSESSION est obsolète, mais vous ne l'utilisez pour rien d'autre que le téléchargement, et seulement pour 1 téléchargement (même si vous pouvez en autoriser plus).

Alternativement, vous pouvez simplement appeler un session_regenerate_id(); à la première demande après un téléchargement (il suffit de définir un drapeau dans le $_SESSION lors du téléchargement).