ｾｯｼｮﾝを利用した認証のｾｷｭﾘﾃｨについて PHPを利用してｳｪﾌﾞｻｲﾄを作っていますﾛｸﾞｲﾝする際､ｾｯｼｮﾝにﾛｸﾞｲﾝidや名前を入れて他のﾍﾟｰｼﾞたとえば自…

ｾｯｼｮﾝを利用した認証のｾｷｭﾘﾃｨについて

PHPを利用してｳｪﾌﾞｻｲﾄを作っています
ﾛｸﾞｲﾝする際､ｾｯｼｮﾝにﾛｸﾞｲﾝidや名前を入れて
他のﾍﾟｰｼﾞたとえば自分のﾌﾟﾛﾌｨｰﾙ編集画面で
if (!isset($_SESSION['user_id'])) {
exit();
}
という感じで認証しているのですが
(編集する際も
WHERE user_id = " . $_SESSION['user_id'] . "";
という感じでｷｰとして利用しています｡)

ｾｷｭﾘﾃｨの本を読んで盗聴などには､session_id()というものを安全な乱数にすれば大丈夫
などとかいてありましたが､上記の例の場合適当なﾗﾝﾀﾞﾑな数字入れてしまえば勝手に編集できるようになってしまう気がします｡

これはｾｷｭﾘﾃｨ的に問題があるとおもうのですがどうなんでしょうか？

もし問題ある場合どのような対策をすればいいのかｱﾄﾞﾊﾞｲｽいただけたらと思います｡

> 例えば､ﾛｸﾞｲﾝﾊﾟｽがわからなくても
> 編集ﾍﾟｰｼﾞで適当なｾｯｼｮﾝ作って数字入れて言ったら
> このﾕｰｻﾞでなくて編集できるようになっちゃうんじゃないかと思いまして

｢編集ﾍﾟｰｼﾞで適当なｾｯｼｮﾝ作って｣これが出来ないから問題無いです｡$_SESSION 自体が既にﾗﾝﾀﾞﾑIDに紐付いたものとして使えるようになっているので大丈夫なのです｡
ﾌﾞﾗｳｻﾞのｸｯｷｰを見るとPHPSESSIONIDという名前でﾗﾝﾀﾞﾑな値が入っているｸｯｷｰがありますよね？予測できないようにﾗﾝﾀﾞﾑにするべきというのは､このPHPSESSIONIDという名前のｸｯｷｰの値です｡これはPHPが勝手にﾗﾝﾀﾞﾑで作ってくれます｡

認証成功した際にｾｯﾄされる $_SESSION['user_id'] の値はｻｰﾊﾞ側ﾌﾟﾛｸﾞﾗﾑがｾｯﾄするもので､ﾕｰｻﾞの入力がそのまま入れるわけではないですよね｡
質問者さんは ?user_id=1 などのｸｴﾘを編集画面に投げたら､PHP内部で$_SESSION['user_id']が1になってしまうんじゃないか？と勘違いされて心配しているのだと思いますが､ﾕｰｻﾞの入力が入るのは $_GET や＄_POST や $_REQUEST であって､$_SESSION ではありません｡$_SESSIONにﾕｰｻﾞが直接値を代入することは出来ません｡