Kan klienten aksessere variabler i $_SESSION[]?

[magicgunnar]

Jeg har laget en captcha hvor et ord blir tilfeldig generert og tegnet som en captcha samtidig som en kryptert versjon av ordet blir lagt inn i variabelen $_SESSION['captcha']

 

Så skal brukeren taste inn ordet i et felt, dette ordet krypteres med den samme algoritmen og de to krypteringene sammenlignes for å se om de er like.

 

Dette er for å unngå at en bruker skal kunne bruke en løst captcha flere ganger, men er det mulig for klienten å endre variabelen som ligger i $_SESSION['captcha'] For slik å lure scriptet mitt?

 

Krypteringen har jeg lagt til for at det ikke skal hjelpe klienten om vedkommende klarer å lese $_SESSION['captcha'], er dette unødvendig?

[PHPdude]

Session-variabler blir lagret på serveren og kan ikke endres eller leses av brukeren.

[Ernie]

Session-variabler blir lagret på serveren og kan ikke endres eller leses av brukeren.

7756045[/snapback]

... med et unntak. De på samme server som deg kan potensielt gjøre hva de vil med "dine" sessions.

[Ståle]

Hvordan kan man sikre mot det da?

[Ernie]

Ikke så mye å gjøre egentlig. Enten lage en egen session-handler (db-basert) eller kjøre det 100% alt selv (cookie + db).