[php] Sessions nicht sicher?

[Christian Froehler]

"Hartmut Holzgraefe (_(at)_home)" wrote:
> 
> PHP4 Sessions
> 
> [...]
darüber hinaus gilt für PHP4-Sessions:

- wenn der Browser keine Cookies annimmt und PHP 
  mit --enable-trans-sid kompiliert wurde, 
  wird die Session-ID nur an URLs angehängt, die
  auf den eigenen Server verweisen. 
  Das Problem, 
  dass über eine automatisch ergänzte URL in einem 
  Link die Session-ID an einen fremden Server 
  übermittelt wird, besteht also nicht.

Beispiel:
Aus folgendem PHP-Skript 

<?php
    session_start();
    echo "<a href=\"$PHP_SELF\">PHP_SELF</a><br>\n";
    echo "<a href=\"http://www.php.net\">http://www.php.net</a><br>\n";
?>

wird - bei abgeschalteten Cookies - folgende HTML-Seite:

<a
href="/dev-html/html/test.php?SESSID=b6a9f0d551982219933c2e5ef8de5985">PHP_SELF</a><br>
<a href="http://www.php.net">http://www.php.net</a><br>
        
mfg
Christian.