Les séances sont nettement plus sûrs que, par exemple, les cookies. Mais il est toujours possible de voler une session et donc le hacker aura un accès total à tout ce qui est dans cette session. Certaines façons d'éviter cette IP, de contrôle (qui fonctionne très bien, mais est très faible fi gratuite et donc pas fiable sur son propre), et à l'aide d'un nonce. Généralement avec un nonce, vous disposez d'un par page "jeton" de sorte que chaque page vérifie que la dernière page du nonce correspond à ce qu'il a stocké.
Dans de vérification de sécurité, il y a une perte de la convivialité. Si vous n'IP de vérification et l'utilisateur se trouve derrière un pare-feu intranet (ou de toute autre situation qui provoque ce) qui ne tient pas une constante IP de l'utilisateur, ils vont avoir à se ré-authentifier à chaque fois qu'ils perdent leur propriété intellectuelle. Avec un nonce, vous obtenez toujours le fun "en Cliquant sur l'arrière de provoquer cette page pour briser" la situation.
Mais avec un cookie, un pirate peut voler la session en utilisant simplement assez simple XSS techniques. Si vous stockez de l'utilisateur, l'ID de session dans un cookie, ils sont vulnérables à cela aussi. Ainsi, même si la session n'est pénétrable à quelqu'un qui peut le faire au niveau du serveur hack (ce qui nécessite beaucoup plus de méthodes sophistiquées et généralement une certaine quantité de privilège, si votre serveur est sécurisé), vous avez encore besoin d'un niveau supplémentaire de vérification lors de chaque demande de script. Vous ne devriez pas utiliser des cookies et de l'AJAX ensemble, ce qui la rend un peu plus facile à totalement aller à la ville si le cookie n'est pas volé, que vos requêtes ajax ne peut pas obtenir les contrôles de sécurité sur chaque demande. Par exemple, si la page utilise un nonce, mais la page n'est jamais rechargé, le script ne peut être vérifier pour ce match. Et si le témoin est tenue de la méthode d'authentification, je peux maintenant aller à la ville de faire de mon méchanceté en utilisant le vol de cookie et l'AJAX trou.
