フリーランスのウェブクリエーターが日々の気付きや日常の出来事を備忘録的にまとめています

ブラウザがセッション管理を行う方法には大きく2種類。

●Cookieに保存する
●URLに付与する

携帯の場合は、ドコモがCookieに対応していないため、URLに付与する形で保持しなければいけません。 
但し、URLにセッションIDを付けている状態の場合、いわゆるセッションハイジャックといわれるセキュリティ攻撃に脆弱になるため、これに対する予防処置が必要になってきます。

session.use_trans_sidをonにすると自動でPHPSESSIDが付与されるようですが、ドコモだけonで、他はoffのようにするとauやソフトバンクでクッキーに対応してない機種があった場合対応出来なくなるので、以下のような処理にしてみた。

if (!isset($_COOKIE[session_name()])) {
// COOKIEが無効だったら
$SESSION = “?” . SID;
$AND_SESSION = “&” . SID;
} else {
// COOKIEが有効だったら
$SESSION = “”;
$AND_SESSION = “”;
}

それでリンクの末尾に$SESSIONや$AND_SESSIONを手動で付けました。