Les requêtes AJAX conservent-elles les informations de session PHP ?

Question

Si un utilisateur est connecté à mon site et que son identifiant est stocké dans le fichier $_SESSION Depuis son navigateur, il a cliqué sur le bouton "Enregistrer", ce qui a entraîné une demande AJAX au serveur. Est-ce que son $_SESSION et les cookies seront conservés dans cette requête, et puis-je compter sans risque sur le fait que l'identifiant est présent dans le fichier $_SESSION ?

Answer 1

La réponse est oui :

Les sessions sont maintenues côté serveur. En ce qui concerne le serveur, il n'y a aucune différence entre une requête AJAX et une requête de page ordinaire. Ce sont toutes deux des demandes HTTP, et elles contiennent toutes deux des informations de cookie dans l'en-tête de la même manière.

Du côté client, les mêmes cookies seront toujours envoyés au serveur, qu'il s'agisse d'une requête ordinaire ou d'une requête AJAX. Le code Javascript n'a pas besoin de faire quoi que ce soit de spécial ou même d'être conscient de ce qui se passe, il fonctionne de la même manière que pour les demandes normales.

Answer 2

Ce à quoi vous voulez en fait en venir est : les cookies sont-ils envoyés avec la requête AJAX ? En supposant que la demande AJAX soit adressée au même domaine (ou dans les limites du domaine du cookie), la réponse est oui. Ainsi, les requêtes AJAX renvoyées vers le même serveur conservent les mêmes informations de session (en supposant que les scripts appelés émettent une session_start() comme tout autre scripts PHP souhaitant accéder aux informations de session).

Answer 3

Si le fichier PHP que l'AJAX demande possède un fichier session_start() les informations de la session seront conservées. (à condition que les demandes soient dans le même domaine).

Answer 4

Eh bien, pas toujours. En utilisant des cookies, vous êtes bon. Mais le "Puis-je compter en toute sécurité sur la présence de l'identité ?" e voudrais prolonger la discussion avec un point important (surtout pour référence, car le nombre de visiteurs de cette page semble assez élevé).

PHP peut être configuré pour maintenir les sessions par réécriture d'URL, au lieu des cookies. ( Comment c'est bon ou mauvais (<-- voir par exemple le commentaire le plus élevé ici) est une question distincte Si l'ID de session n'est pas visible, le problème le plus important des sessions basées sur l'URL n'est pas un problème avec les appels Ajax internes ; mais si c'est activé pour Ajax, c'est aussi activé pour le reste du site, donc voilà).

Dans le cas de sessions avec réécriture d'URL (cookieless), les appels Ajax doivent s'en charger eux-mêmes. que les URL de leurs requêtes sont correctement rédigées. (Ou vous pouvez mettre en place votre propre solution personnalisée. Vous pouvez même recourir au maintien des sessions du côté client dans les cas moins exigeants). Le point est le soin explicite nécessaire pour la continuité de la session, si l'on n'utilise pas de cookies :

1. Si l'Ajax appelle juste extrait URLs verbatim de l'HTML (tel que reçu de PHP), cela devrait être OK, car ils sont déjà cuits (hum, cookified).

2. S'ils doivent assembler l'ID de session doit être ajouté manuellement à l'URL. (Vérifier aquí ou les sources des pages générées par PHP ( avec réécriture d'URL sur ) pour voir comment faire).

---

De OWASP.org :

En effet, l'application web peut utiliser les deux mécanismes, les cookies ou les paramètres d'URL, ou même passer de l'un à l'autre (réécriture automatique d'URL) si certaines conditions sont remplies. réécriture automatique de l'URL) si certaines conditions sont remplies (par exemple, l'existence de clients web ne supportant pas les cookies ou lorsque les cookies ne sont pas acceptés). de clients web ne supportant pas les cookies ou lorsque les cookies ne sont pas acceptés pour des raisons de confidentialité).

D'un Forum Ruby poste :

Lorsque vous utilisez php avec des cookies, l'ID de session sera automatiquement envoyé dans les en-têtes de la requête, même pour les requêtes Ajax XMLHttpRequests. Si vous utilisez ou autorisez les sessions php basées sur les URL, vous devrez ajouter l'id de session à chaque url de requête Ajax.

Answer 5

Il est très important que les requêtes AJAX conservent la session. L'exemple le plus simple est lorsque vous essayez de faire une requête AJAX pour le panneau d'administration, disons. Bien sûr, vous protégerez la page à laquelle vous faites la demande, afin qu'elle ne soit pas accessible à d'autres personnes qui n'ont pas la session obtenue après la connexion de l'administrateur. Est-ce que cela a un sens ?