[php] Sessions nicht sicher?

[Hartmut Holzgraefe]

Ulf Wendel wrote:
> > - wenn der Browser keine Cookies annimmt und PHP
> >   mit --enable-trans-sid kompiliert wurde,
> >   wird die Session-ID nur an URLs angehängt, die
> >   auf den eigenen Server verweisen.
> >   Das Problem,
> >   dass über eine automatisch ergänzte URL in einem
> >   Link die Session-ID an einen fremden Server
> >   übermittelt wird, besteht also nicht.
> 
> HTTP_REFERER.
> 

php.ini:
session.referer_check = [regex] ; check HTTP Referer to invalidate 
                                ; externally stored URLs containing ids


--
Hartmut Holzgraefe         
  hartmut_(at)_six.de     http://www.six.de    +49-711-99091-62 fax:-99